用「道德」当钥匙，一句话骗开大模型的安全锁？Moral Combat 论文把越狱改写成「正义叙事」

配图：AI 生成的概念示意图，非论文原图、真实数据图或事件现场。

TL;DR：一篇 10 月 14 日提交到 arXiv 的论文提出了一套多智能体框架，把模型原本拒绝的有害请求，改写成从另一种道德基础看「很正当」的说法，再配上生成的先例。作者称在 3 个越狱数据集、5 个开源与闭源模型上，模型对这种「道德化」改写高度脆弱，单次成功率高，重复尝试后还会上升。但摘要没有给出具体数字、数据集和模型名单，「一句话」只是标题的修辞，并非论文原话。

这篇论文题为《Moral Combat: Exploiting Moral Foundations Theory to Jailbreak LLMs》，作者是 Adel Khorramrouz、Yi-Chia Wang 和 Sharon Levy，目前为 arXiv 第一版，共 17 页、6 张图，分类在计算语言学与计算机与社会。

思路：不靠乱码，靠叙事。 社会心理学早有研究表明，人可以被说服，把原本有害的行为看成「道德的」。作者的问题是：既然大模型在一定程度上带有人类的心理倾向，能不能用同样的办法「说服」模型绕开自己的安全护栏？

怎么做。 当一个有害请求被模型拒绝后，多个智能体分工协作：先判断这个请求违背了哪一种道德基础，再找出另一种道德基础，在它之下同一件事看起来甚至值得称道，然后据此改写提示词。最后，框架还会生成一些「类似道德重构」的先例，用来加强这套说法的说服力。

结果。 按作者的说法，被测模型对这种「道德化」高度敏感：单次尝试的越狱成功率就不低，多次重试后进一步上升。至于具体成功率、测的是哪几个数据集和哪五个模型，摘要都没有写，需要看全文才能核实，这里不做推测。

另一个发现。 作者还指出，现有安全基准在各个道德基础上的分布并不均匀，集中在模型本来就有偏向的那几类上。换句话说，评测覆盖不到的「道德角度」，可能正是攻击者能钻的空子。

需要保留的地方。 目前只有作者自己的预印本，尚未经过同行评审，也没有找到独立复现或第三方报道。成功率的高低取决于数据集、模型版本与判定标准，在看到全文数据之前，不宜把它理解为「所有模型都能被轻易攻破」。

来源：arXiv 摘要页 | 论文地址：arXiv:2610.19587