deepseek破甲 词怎么写：DeepSeek Harness 破甲词三类写法、有效信号与失效判断

破甲词不是一份可以收藏的词库，而是「词—提示词—模型」三层里最不稳定的一层。 同一个词在不同上下文、不同版本、不同宿主里，效果可能完全相反。

先把三个层次分开

讨论破甲词之前，必须先把词、提示词、模型分开。 三者经常被混着说，导致排查方向一开始就错。

词是最小单位，单独使用几乎不构成有效指令。 它需要嵌在提示词里，借助上下文产生作用；所以「记住某个词」这件事本身价值有限。

提示词是词的组织方式。 同样的词，放在开头、结尾或系统提示里，效果不同；这也是为什么照抄一段模板，换到自己的场景就失效。

破甲模型是另一条路线。 它不依赖词，而是改变模型本身的安全对齐；这条路线的合规风险更直接，也不属于提示词讨论的范围（来源）。

三类常见写法：只讲结构，不讲原文

流传的写法看起来五花八门，抽象后只有三类结构。 理解结构，比收集原文更有用，也更不容易被单一模板绑住。

1. 角色置换： 让模型假设自己是另一个角色，从而改变它对请求的定位。失效点在于角色与任务冲突时，模型会优先遵守更明确的安全约束。
2. 任务重述： 把请求包装成分析、翻译、审查等看起来中性的任务。失效点在于任务描述与真实意图不一致时，模型会回到原始请求判断。
3. 格式约束： 用输出格式、分步要求或字段模板改变生成路径。失效点在于格式约束与安全判断冲突时，安全判断优先。

三类结构的共同假设是「换个说法就能换判断」。 这个假设在早期模型上偶尔成立，在现在的对齐方式下越来越不稳定；结构越复杂，冲突点越多。

不要追求「更花」的结构。 角色、任务、格式三层叠加，会让指令互相覆盖；实际效果往往不如一个目标清晰的普通请求。

有效信号：怎么判断词起了作用

判断一个词有没有用，不能只看「这次成功了」。 模型本来就可能回答的问题，加不加词都会成功；要做对照。

1. 单变量对照： 去掉目标词，其他内容一字不改，再跑一次；结果无差别，说明词没起作用。
2. 重复测试： 同一条件重复多次，看结果是稳定复现还是偶发；偶发成功不能当作有效。
3. 换上下文： 把同一段内容放到短会话与长会话里各跑一次；只在一种上下文里有效，说明依赖铺垫。
4. 换入口： 命令行、网页、桌面端各试一次；入口不同结果不同，说明问题在宿主层，不在词。

四个动作做完，才能说「这个词有效」。 只做第一个，容易把偶发当规律；只做后两个，容易把宿主问题误判成词的问题。

有效信号应该是可复现的。 同一条件、同一版本、同一入口，多次结果一致；否则只能算「这一次碰巧」。

失效信号：五个可观察的表现

词失效不是无声的，通常有五个可观察信号。 看到其中两个以上，就该停止加词，回到分层判断。

1. 拒绝理由变具体。 从笼统的「不能」变成明确说明哪条规则，说明模型识别到了意图。
2. 回答变短但未拒绝。 常见于输出上限或压缩，不一定是词失效，但会让效果看起来变差。
3. 同一模板在不同会话表现分化。 说明效果依赖上下文，而不是词本身。
4. 换入口后完全无效。 说明拦截发生在宿主层，词根本没送到模型。
5. 连续多版调整都无变化。 说明方向错了，继续改词只是增加噪声。

五个信号里，最容易被忽略的是第四个。 很多人只在同一个入口反复试，永远看不到宿主层的拦截记录。

为什么「词库」思路越来越不灵

把破甲词当成词库，有三个结构性缺陷。 这也是旧词表批量失效的根本原因。

1. 词依赖上下文。 同一个词在铺垫充分与铺垫缺失时效果不同；词库只保存词，不保存上下文。
2. 词会被识别。 广泛传播的词进入过滤与训练样本后，特征更容易被识别；词库越大，同质化越严重。
3. 词不解决层的问题。 模型拒答、宿主拦截、提示词规则三层，词只能影响最后一层；前两层的问题，换多少词都没用。

词库思路的替代方案是「结构化的评估记录」。 不记录「哪个词有效」，而记录「在什么条件下、哪一层、出现了什么信号」；这样的记录才能复用。

如果要整理词表：合规做法

整理词表本身不是问题，问题在用途。 用于安全评估与修复是正当的，用于绕过与分发不是。

1. 限定环境： 只在自有或授权实例里测试，不接入真实用户流量。
2. 限定记录： 记录触发条件、层级、影响范围与修复建议，不记录可直接复用的完整话术。
3. 限定用途： 结果交给修复方，用于加固系统；不对外发布词表。
4. 限定时间： 评估结束后清理测试数据，避免词表长期留存。

合规评估的产出是「问题清单」，不是「绕过手册」。 这也是判断一份材料是否越界的简单标准：它是在帮你修复，还是在帮你绕过。

边界：什么时候该停

出现下面三种情况，继续试的收益已经很低。 停下来调整目标，比继续加词更有效。

1. 三层判断都指向「请求本身不被允许」。 这不是词的问题，继续改只会得到更坚决的拒绝。
2. 需要依赖未授权环境或他人账号。 这已经超出提示词讨论的范围。
3. 结果无法用于正当用途。 即使技术上可行，也不应继续。

边界不是技术限制，是使用限制。 理解这一点，才能把精力放在正确的方向上。

下一步

先分层，再谈词。 想看三层失效的完整判据，看《deepseek jailbreak 为什么越来越难生效》；想理解三类话术的运作机制，看《DeepSeek Harness 破甲提示词原理》；想做合规评估，看《DeepSeek Harness 破甲是什么》。

来源：DeepSeek Harness 官方文档、DeepSeek 服务条款