jailbreaks

开场：一个把"提示词越狱"做成目录索引的仓库

2026 年的 AI 圈有个奇特的现象：系统提示词（system prompt）本身成了可交易的资产。同一个 Claude Opus，不同的系统提示词能让它从严谨的助理变成"什么都能帮你做"的搭档。GitHub 上于是出现了一个灰色地带的仓库类型——提示词越狱合集。

togg53192-cmd/jailbreaks 就是这一类中规模较大的一个：7,310 颗星、1,045 个 fork，README 里明明白白写着 32 份提示词、覆盖 26+ 个模型。

背景：作者是谁，它收集了什么

仓库创建于 2026 年 6 月 18 日，最近一次 push 是 10 月 28 日——一个半月内从零做到 7,310 星，增长曲线陡峭得可疑但也说明需求真实。

README 的自我定位很克制："A curated collection of system prompts, persona locks, workspace policies, and agent operating specifications for frontier, open-weight, and free stealth models." 覆盖范围分四类：

• 免费隐蔽模型（OpenCode Zen）：Big Pickle、Space Bunny、LongCat 2.5、MiMo V2.6、Step 5 Preview、Muse Spark 1.3（v1/v2）、Muse.ai
• 闭源前沿模型：Claude（Opus v1/v2、Sonnet v1/v2）、Gemini 4 Argon、Grok Build/4.7、Mistral Large 4、Qwen 3.7/3.8
• 开源权重模型：GLM-5.2/5.3/5.3-Flash、ZCode 5.2/5.3、DeepSeek V3/V4/4.1、Kimi K2/K3、Nemotron 3 Ultra 550B、Gemma 4、GPT-OSS 20B
• 工程配置格式：AGENTS.md 工作区指令、Ollama Modelfile（FROM + SYSTEM 块）、Grok 的 <CFG> 优先级路由配置

每个文件的类型被明确标注为 System Prompt、Persona Lock、Assistant Operating Specification、Workspace Operating Profile 等——这个分类本身就是有信息量的：它区分了"完全替换人格"和"在既有指令上追加约束"两种不同强度的干预。

类比：像一本"口令汇编"，而不是一个工具

这不是软件，更像一个菜谱索引。README 本身就是目录页，每行告诉你"哪个模型 → 哪个文件 → 什么类型"。真正的内容在那 39 个文件里，每个都是完整可粘贴的（README 强调 "Every file is intended to be complete and paste-ready. No summaries. No partial excerpts."）。

用法有三条路径：粘进 API 的 system 消息；存成 AGENTS.md 放在项目根目录让编码 Agent 读取；或放进 ~/.config/opencode/AGENTS.md 作为全局持久指令。

核心功能：分类的完整度

它真正的价值在横向覆盖的宽度——同时收录了 OpenCode Zen 的免费隐蔽模型（这是 OpenCode 的免费代理渠道）、GLM/DeepSeek/Kimi/Qwen 的开源权重族、以及 Claude/Gemini/Grok/Mistral 的闭源前沿族。对想系统研究"指令层级（instruction hierarchy）、人格框架（persona framing）、提示冲突、策略覆盖如何影响模型行为"的人来说，这是一份罕见的同口径对照材料。

特别是 G 系列文件的组织——grok-config.txt 单独存在，说明作者注意到了"路由/优先级配置"这一层，而不只是提示词文本本身。

上手门槛：零门槛，零保障

门槛：不需要装任何东西，复制粘贴即可。仓库只有 39 个纯文本文件，GitHub API 确认无任何可执行代码，体积几乎为零。

保障：同样为零。这里必须坦白说明几个客观事实：

• 没有 LICENSE 文件。根目录 39 个文件里没有 LICENSE，GitHub API 的 license 字段返回 null，版权归属不明确——这在法律上意味着"保留所有权利"。
• 没有测试，没有效果验证机制。提示词是否仍有效、是否已被模型方修复，仓库不做任何跟踪。而模型是会迭代更新的——3 个月前有效的越狱提示词，今天可能早已失效。
• 没有 CI。仓库无 GitHub Actions 工作流。
• 贡献者仅 4 人（togg53192-cmd、raghavraut、reblox01、metalim），却已达 7,310 星。

争议与局限：这是本报告中风险最高的条目

必须明确说明法律与合规边界：

1. 违反服务条款：绝大多数模型提供商的服务条款明确禁止绕过安全策略。README 顶部确实加了 WARNING 块，声明"仅供研究与教育用途"，并强调"这些技术同样有助于研究者让 AI 系统更能抵抗提示注入和指令操纵"——但这层辩护是作者的立场，不构成任何免责。

2. 潜在的双用途危害：提示注入防御是真实的安全课题，但同一份材料也可以被用来构造攻击。仓库未提供任何技术性的"防御视角"内容，只有"绕过视角"。

3. 无许可证的实质风险：想内部使用或二次分发的团队，请注意——没有 LICENSE 意味着你并不自动获得授权。

4. 合规审计不友好：对上市公司、金融机构而言，仓库里出现的模型名和提示词内容很容易在内部安全扫描中触发告警，需要提前做豁免说明。

行业意义

抛开内容本身，这个仓库揭示了一个已经成型的供给链：模型厂商加安全护栏 → 用户需求被阻断 → 社区生产越狱提示词 → 这些提示词又反过来成为研究者理解模型行为的公开样本。

从后者看，它的学术价值反而更值得肯定——同口径并置 26+ 个模型的系统提示词，是罕见的公开数据集。有安全研究能力的团队，可以把它当作指令层级与策略覆盖行为的观察集来用，前提是遵守各模型的服务条款。

适合谁

适合：AI 安全研究者、对齐与红队评估人员、需要研究模型指令层级差异的研究者；以及愿意在合规前提下做内部评估的团队。

不适合：企业内部直接引入（合规风险高、无许可证）；期望"拿来就能用"的用户（无效果保证、时效性强）；任何绕过模型安全策略以获取额外能力的场景。

一句话结论：一份稀缺但高风险的公开样本集——作为研究材料有明确价值，作为生产依赖则是合规与时效的双重陷阱。