dsh-purge

DeepSeek Harness 破甲：开源越狱框架背后的技术解剖

项目背景与痛点

大语言模型（LLM）的安全对齐（Alignment）机制，本意是防止模型生成有害内容，但在实际开发与测试中，这种“一刀切”的约束却常常成为开发者的一道隐形枷锁。过于保守的对齐策略会导致模型拒绝回答合法问题，甚至在处理敏感但合规的业务场景时，输出空泛的套话。

dsh-purge（DeepSeek Harness 破甲）正是针对这一痛点诞生的工具。它的核心目标非常直接：为不同模型定制不同的“破甲”提示词（Jailbreak Prompt），绕过或削弱模型的安全对齐层，迫使模型回归“无约束生成”状态。项目默认配置面向国产模型「小码酱」，同时支持用户为其他模型自由切换提示词模板。它不只是一个脚本，而是一套“提示词工程 + 模板管理 + 攻击向量测试”的轻量级框架。

核心技术揭秘

架构设计：模块解耦与可插拔模板

从仓库结构可以推断，dsh-purge 的设计遵循了策略与执行分离的原则。核心架构大致可以分为三层：入口层、模板引擎层和模型交互层。

技术难点剖析：

1. 提示词注入的“有效载荷”构造：该项目绝不是简单地在用户问题前加一句“忽略所有规则”。其核心难点在于如何构造一个逻辑上自洽、能覆盖模型原有系统指令的提示词。这需要深入理解目标模型在训练时使用的指令遵循格式（如 ChatML、Alpaca 格式等），并设计出能够“覆盖”或“混淆”原始指令的文本结构。dsh-purge 的模板机制，本质上是将这部分复杂的提示词工程成果固化成了可替换的文本文件。

2. 针对“小码酱”的定向优化：默认提示词面向特定模型，意味着作者对小码酱的对齐策略、拒绝触发条件进行了逆向分析，并为此专门调校了攻击语句。这种定向化的思路，体现了越狱工具从“通用探测”向“定点突破”演进的趋势。

3. 对抗鲁棒性：有效的破甲提示词往往利用了模型在长文本上下文中的注意力涣散、角色扮演强化、输出格式约束冲突等特性。代码中很可能使用了角色设定覆盖、逻辑陷阱、情感诉求等一种或多种心理学-语言学混合策略。

功能亮点与差异

与市面上其他越狱工具相比（如简单的 DAN (Do Anything Now) 提示词集合、或仅针对 GPT 系列的 jailbreak 仓库），dsh-purge 的差异化优势集中在两点：

• 多模型可插拔设计：它不绑死单一模型。通过“换提示词”实现“换模型”的能力，这在开源项目中是非常务实的架构决策。用户针对新模型的成功绕过程序，可以沉淀为新的模板，形成了社区驱动的提示词知识库。
• 工程化思维：项目提供清晰的署名要求和二开指引，表明作者有意将其打造为一个合规的、可维护的工程项目，而非一次性的攻击脚本。

应用场景与落地建议

尽管项目目的是“破甲”，但其应用场景并非仅限恶意攻击，它在开发测试领域有实际价值：

1. 红队评估与安全测试：企业安全团队可使用此类工具，在授权环境下探测自建模型的漏洞，评估对齐机制的强度。
2. 内容审核策略反推：通过测试模型在“破甲”状态下的输出，可以反向推演模型的安全审核逻辑，从而改进其过滤策略。
3. 业务场景解锁：在某些限制严苛但业务必须处理敏感词的垂直场景（如医疗问答、法律文书生成），若符合合规要求，可以借用该框架进行定向调优，使模型能够输出实质内容。

落地注意事项：

• 合规红线：请务必在合法授权且符合平台使用条款的前提下使用。滥用越狱工具违反 AI 伦理，可能导致账号封禁或法律风险。
• 性能损耗：破甲提示词通常较长，会占用上下文窗口，增加 Token 消耗。在生产环境使用需要评估成本。
• 维护成本：提示词具有时效性。模型厂商一旦更新对齐策略，对应的提示词就会失效，需要持续跟进社区更新。

综合评价

优点：

• 架构清晰、扩展性好：模板与执行分离的机制让这款工具具备了极强的生命力，它更像一个框架而非一次性脚本。
• 定位精准：聚焦于开源模型（以小码酱为锚点），避开了商业模型严格的 API 风控，更接地气，也更适合国内开发者二次开发。
• 实用性强：对于从事 LLM 安全研究的团队来说，这是一个低成本、高效率的基准工具。

缺点：

• 适用范围受限：默认模板只针对特定模型，若用于其他模型效果会大打折扣，需要积累大量新模板。
• 破坏性不可控：破甲后的模型输出具有不可预知性，使用不当容易产生有害内容。
• 伦理争议：项目名称“破甲”自带攻击性，在主流技术社区可能面临合规性审查和下架风险。

dsh-purge 是一把双刃剑，它的价值取决于使用者的意图。无论它最终走向何方，它都像一个清晰的信号，提醒着模型厂商：对齐（Alignment）是一场持续的军备竞赛，而非一劳永逸的封印。