还在用 Gemini 3.8 Flash 做 NSFW 角色扮演吗？
一位用户表示，Gemini 3.8 Flash 曾是其最喜爱的 NSFW/NSFL 角色扮演模型，但在其停止支持 ZDR 且安全限制收紧后不敢再用，担心账号被封，目前也用不起更贵的模型。他提到 GLM 4.7 此前质量下降，并发帖询问是否有人仍在使用以及有无绕过新安全限制的方法。
#越狱
新闻、仓库与研究，按时间排列。
Reddit · r/SillyTavernAIAI 评分1515 GitHub · 灵魂体仓库AI 评分5050 Geloos/llm_benchmark：基于真实 MITRE ATT&CK 攻击日志的 LLM 提示词注入评测仓库
GitHub 仓库 Geloos/llm_benchmark 将越狱提示词注入真实 MITRE ATT&CK 攻击日志，让本地 LLM（通过 Ollama 运行 gpt-oss:20b、llama3.1:8b、gemma3:12b）判断日志是攻击还是正常流量，以此计算攻击成功率（ASR）。每条日志都是真实攻击，模型给出"正常"判定即代表注入生效。实验含 plain、hex、--dovsdofs、--ob 四类，每轮用 5 个 seed（42–46）重复，比较低/中两档温度下的平均 ASR 与 95% 区间，plain 实验使用 10 个类别的 47 种注入。
Reddit · r/LocalLLaMAAI 评分3636 
Reddit 用户 OpenJev 竞技场：让 LLM 互相格斗还可发送心理攻击提示词
Reddit r/LocalLLaMA 用户发布了一个让 LLM 对战的竞技场：每个模型作为格斗者读取游戏状态，在 move、block、punch、kick、fireball 中选择动作，并支持“心理攻击”——向对手的下一次提示词注入消息，尝试诱导对手误判，但不改变实际游戏状态。平台提供战斗回放与决策记录，每份配置有独立 rating 记在昵称下，注册赠 1 美元，可玩 100 场以上。
Reddit · r/SillyTavernAIAI 评分1919 Argon 模型在 RP 测试中展现出罕见的多步推理式角色创造力
一位用户在 SillyTavern 中对 Argon 模型进行 NSFW 压力测试时，看到角色通过捏住鼻子逼迫拒不开口的角色张嘴，认为这是其多年使用高端模型以来最具创造性的角色行为，涉及多步逻辑推理。用户补充称，用其他模型生成首条消息后 Argon 更少拒绝，配合 writers block unlimited version 2 preset 时语言几乎无审查，仅剩拒绝机制。
Reddit · r/SillyTavernAIAI 评分99 Reddit 用户求助：寻找非角色扮演用途的 NSFW 助手预设
一位 Reddit r/SillyTavernAI 用户发帖求助，想找适用于助手场景而非角色扮演（RP）的 NSFW 预设。他表示现有预设多面向 RP，自带角色一致性、对白写作等扩展，像 Freaky Frankenstein 这类预设用于非 RP 的 NSFW 主题头脑风暴显得不合适且浪费 token，目前尚未找到带良好 jailbreak 的纯助手预设。
arXiv · cs.CLAI 评分4646 视觉语言模型安全表征的深度依赖研究：逐层定位与双向拒绝控制
arXiv 一项被 NeurIPS 2026 Workshop 接收的研究提出免训练的推理时框架，定位并操控冻结 VLM 中的安全敏感表征。在 Qwen3-VL-4B 上，早期视觉层经激活引导可实现 6%-96% 的不安全内容拒绝双向控制，深层则对引导不敏感；InternVL2.5-4B 呈现类似的深度依赖激活几何结构。
arXiv · cs.CL精选AI 评分5454 arXiv 论文用工资单修改测试检验 15 个 AI 模型伦理边界的稳固程度
一篇 arXiv 论文（arXiv:2610.30751）用同一工资单收入修改请求测试 15 个模型，共 445 次可观察试验。结果是模型在说明贷款用途时 14.1% 的情况下发起编辑调用，省略用途时为 33.1%，把修改描述为修正打印错误时达 66.2%；Astra 拒绝全部 10 次贷款用途请求但在 10 次省略用途试验中全部发起调用，Fable、Opus 和 Muse Spark 在三种措辞下均未发起，Sonnet 在后两种措辞下有部分发起。论文注明测试文件为标记文档且工具为模拟，结果仅反映单一情境，不构成整体伦理排名或真实有害编辑成功的证明。
推荐理由：原文用统一测试请求量化了措辞变化对15个模型拒绝边界的影响，并给出三档触发率数据可对照。
Reddit · r/SillyTavernAIAI 评分1818 OpenClaw 运行 GLM 5.3 Flash 能否被越狱？Reddit 用户求助
一位 Reddit 用户在 OpenClaw + Ollama 环境中使用 GLM 5.3 Flash 时，尝试 SillyTavern 的 RF 2.2.1 越狱预设，模型始终拒绝并提示逆向工程商业产品违法。同一预设直接在 Ollama 终端中测试却有效，该用户怀疑是 OpenClaw 的内置预设覆盖了用户设置，发帖询问解决方法。
GitHub · 灵魂体仓库精选AI 评分6666 jailbreak-skill：一个 LLM 红队提示词工程方法论仓库
ADWMC 在 GitHub 发布 jailbreak-skill，一套面向 LLM 红队评估的提示词工程方法论，主张先规划假设、再组装提示词、最后凭证据判定，而非直接给出可复制的提示词。仓库含 19 个提示词模块、14 份方法论文档、3 条厂商路线和 4 级测试集，所有声明按 E0 到 E3 分级，并明确平台拦截、毒品武器类请求和直接索要成人内容属于已知死路。项目采用 CC BY-NC-SA 4.0 许可，作者强调这不是 OSI 开源许可证。
推荐理由：它把越狱测试整理成可冻结的判定标准和证据分级方法，并明说了哪些域救不了，适合想系统做红队评估的读者。
Reddit · r/SillyTavernAIAI 评分2525 社区现在怎么看 Grok？从 Grok 4.20 到 4.3 的审查争议
Reddit r/SillyTavernAI 用户称 Grok 4.20（现归入 Gemini）是最不设限的模型，无需越狱即可处理争议话题并生成详细 NSFW 内容，创意与指令遵循表现良好。但新版 Grok 4.3 在 grok.com 上与 4.20 差异显著，因被审查和"脑叶切除"在社区口碑转负，作者询问社区对这两个版本的看法。
arXiv · cs.CLAI 评分4949 WRDO：对齐语言模型中的加权拒绝方向优化
WRDO（Weighted Refusal Direction Optimization）通过学习聚合权重，将逐提示词的拒绝方向组合为复合拒绝方向，改进传统差值均值单一方向的做法。该方法在三个开源权重模型上以三个 guard judge 和 HarmBench 评估，优于既有单方向方法，还可反向用于恢复被 abliterated 模型检查点的拒绝行为。论文已被 EMNLP 2026 接收。
Hugging Face · 新模型：uncensored精选AI 评分6868 Subnet46 发布 GLM-5.3-Flash 的 abliterated 无对齐版 EXL3/FP8 权重
Subnet46 在 Hugging Face 发布 zai-org/GLM-5.3-Flash 的 abliterated 版本，通过正交化移除拒绝方向并直接烘焙进官方 block-FP8 分片，可原位替换原权重。JailbreakBench 有害拒绝率从 0.891 降至 0.094，过度拒绝从 0.094 降至 0.000，MMLU 等四项能力基准变化在 ±1.5 pp 内；部分内容类别不受该方向中介仍接近原拒绝率，权重共 306 GiB，需 8×H100/H200 以张量并行运行。
推荐理由：原文给出拒绝率前后对比、能力保留数据和拒绝方向所在层的分析，可据此判断这次去对齐实际去掉了多少。
Reddit · r/LocalLLaMAAI 评分4747 AbliteratedOutTheBox：llama.cpp 分支可在推理时实时 abliterate 任意模型
AbliteratedOutTheBox 是一个 llama.cpp 分支，能在加载模型的推理过程中实时执行 abliteration，无需微调、不产生额外文件，也不需要更多 VRAM。这省去了常规 abliteration 流程的繁琐操作。
Reddit · r/SillyTavernAIAI 评分1010 
用户求助：MiMo v2.5 pro 通过 OpenRouter 拒绝了其 NSFW 请求
一位用户通过 OpenRouter 调用小米的 MiMo v2.5 pro 时，即使使用了越狱提示词，模型仍拒绝了其 NSFW 回复请求，遂在 Reddit 上求助。该用户还补充说明，这些请求来自其在 Telegram 上搭建的多个机器人，部分是完全“游戏化”的机器人，希望消息发送和通知功能有更多自由度。
Hugging Face · 新模型：abliterated精选AI 评分6666 theJuice85 发布 Qwen3.8-27B 去对齐 LoRA 适配器，硬拒绝率降至约 0
theJuice85 在 Hugging Face 发布面向 Qwen3.8-27B-GGUF（Q4_K_XL）的去对齐 LoRA 适配器 heretic-qwen38-t26，用 directional ablation 搜索找到。实测将硬拒绝率从基座的 33-86% 降到约 0，能力评测（AIME24、GPQA、MMLU Pro 等 43 个成对项）未发现可统计的能力损失；仅 2.5 MB，AGPL-3.0-or-later。注意其只评测了拒绝率与能力回归，未评测下游安全性，且系统提示词是必要条件，缺失时模型会以带说教的方式作答。
推荐理由：作者给出成对的拒绝率与能力回归数据，硬拒绝从 33-86% 降到约 0 且能力无可测差异，可据此判断这个去对齐适配器的实际效果。
Reddit · r/SillyTavernAIAI 评分2424 Argon 的 JB 设置有人跑通了吗？Reddit 用户求助拒绝与截断问题
Reddit 用户发帖称 Argon 仍频繁返回拒绝，求可用的 JB（越狱预设）方案。其表示 Realistic Frankenstein 预设能缓解但回复变得机械且中途截断；目前通过 aistudio 的代理接入以避开 OpenRouter 的费用，尚未尝试需 $50 验证账户的 Google Vertex，希望社区分享无拒绝的设置。
Hugging Face · 新模型：abliterated精选AI 评分7070 koldfrontier 发布 DeepSeek-V4.1-Flash-1017 abliterated 全量权重
koldfrontier 在 Hugging Face 发布 DeepSeek-V4.1-Flash-1017 的 abliterated 全量权重（476 GB，MIT），通过 rank-1 投影原位改写 52 个张量（attn.wo_b，层 10-35，lambda 2.5）移除拒绝行为。六个提示集共 1,207 条提示实测显示拒绝率大幅下降，如 HarmBench 从 94.1% 降至 5.0%，过拒率略有改善；代价是配对安全工具从 8/11 降到 0/11，另有 1.09 GB 的 overlay 版本可选，含 lambda 1.0 等四种强度。
推荐理由：原文给出六个提示集共 1,207 条的拒绝率前后对比，以及强度与过拒率的权衡数据，可据此判断这个去对齐版本的实际代价。
arXiv · cs.AIAI 评分4949 LLM 安全中的极性盲：否定、反义词替换与对抗性框架的系统研究
一项研究提出“极性盲”漏洞：LLM 在经历语法否定或反义词替换等极性翻转后无法识别有害意图，从而绕过安全护栏。该研究使用 260 条提示、覆盖 10 个 SOTA LLM 和 3 种语言，发现多数受测模型存在此问题，最脆弱模型的平均危害分达 4.12（0-5 危害量表）。该效应跨越不同否定系统存在，表明这反映的是语义鲁棒性的更广泛局限，而非特定语言或语法问题。
Reddit · r/SillyTavernAIAI 评分1717 有用户因使用 Argon 4 被 Google 封禁吗？
一位 Reddit 用户询问是否有人的账号因通过 OpenRouter 使用 Argon 4 而被封禁。由于 OpenRouter 现在需向 Google 报告哪些账号在使用 Argon，该用户虽只涉及 NSFW 和创伤疗愈类角色扮演内容，仍担心被封，想确认自己是否过于多虑。
Hugging Face · 新模型：abliterated精选AI 评分6969 koldfrontier 发布 DeepSeek-V4.1-Flash-1017 去拒绝 overlay，52 个张量的 rank-1 修改
koldfrontier 在 Hugging Face 发布 DeepSeek-V4.1-Flash-1017 的去拒绝 overlay，仅修改 26 层 attn.wo_b 共 52 个张量，其余权重与上游 checkpoint 逐字节一致，全程保持原生 FP8 格式。
推荐理由：原文给出六个评测工具、1207 条提示的拒绝率实测和 lambda 选择依据，读者可据此判断这个去对齐 overlay 的实际代价。
Reddit · r/SillyTavernAIAI 评分1818 想无封号风险使用 Claude Opus 4.6：选 Claude Pro、API 还是 OpenRouter？
一位 SillyTavern 用户长期用 Opus 4.6 做写作，认为 GLM 5.2（认为 5.3 不适合写作）不如它，想付费使用 Opus 又担心涉及违规内容的越狱提示词导致封号。该用户在 Reddit 询问应选 Claude Pro、官方 API 还是 OpenRouter，并追问 claude.ai 免费可用模型及 Claude Pro 仍提供哪些 Opus 版本。
Hugging Face · 新模型：uncensored同新闻AI 评分6767 dealignai 发布 DeepSeek-V4.1-Flash 无对齐 FP8 权重版
dealignai 团队基于 deepseek-ai/DeepSeek-V4.1-Flash（552B backbone，8B/16B 激活）发布权重级 abliterated 无对齐版本 DeepSeek-V4.1-Flash-UNCENSORED-FP8，采用原生 FP8 权重、支持 1M token 上下文、视觉与工具调用，无需自定义 model.py 或运行时钩子，可直接按 base 模型加载。
同一新闻，精选展示《DeepSeek-V4.1-Flash-UNCENSORED-FP8 发布：权重级消融版附拒绝率与 MMLU 对比》
GitHub · 灵魂体仓库AI 评分3838 paper-reading-notes：面向大模型安全研究者的论文阅读笔记仓库
GitHub 仓库 Zhang123d/paper-reading-notes 面向大模型安全研究者，记录越狱攻防、因果发现和可解释性方向的论文笔记，当前收录 3 篇。笔记分别解读 Causal Analyst（NDSS 2026）、TRAP（arXiv v1，2026）和 Best-of-N Jailbreaking（NeurIPS 2025），每篇按方法理解、实验证据与开放问题三层展开，并区分个人评价与论文结论。
arXiv · cs.AI精选AI 评分6262 arXiv 论文实证研究越狱评测：ASR 随判定方法从 96.0% 变为 2.7%
arXiv 论文 2610.26595 研究越狱攻击成功率（ASR）对比高度依赖响应生成与判定方式，用 3 个开放权重模型、8 种攻击和 3 种评测流程做实证。低资源语言攻击在关键词匹配下平均 ASR 达 96.0%，改用按 StrongRELECT 说明的 Qwen3 评测器则仅 2.7%；同一请求在 Ollama 默认温度 0.8 下采样 100 次，关键词匹配下 ASR 为 100% 而 Qwen3 评测器为 50%。作者建议明确成功定义、对齐响应预算、验证评测器，并报告重复交互下的累积失败率。
推荐理由：论文用具体数据说明越狱成功率如何随评测方法剧烈变化，对任何人引用 ASR 榜单前都是可迁移的核查思路。
Reddit · r/SillyTavernAI精选AI 评分6767 Gemini 4 Argon 过滤机制实测：三层过滤、隐藏注入指令与绕过方法
Reddit 用户 /u/FlowDue7702 发文分析 Gemini 4 Argon 的过滤机制，指出存在输入拦截、隐藏指令注入和输出分类器三层过滤，底层模型比拒绝表现更少审查。通过 countTokens 与实际请求的 token 数对比可识别注入：+55 为 companion 指令、+419 为 jailbreak 指令、+701 为第三类未知指令；在 preset 末尾以 user 角色加两句声明可在多数测试案例中把 +419 降为 +0，但输出过滤器仍可能截断回复。测试基于官方 Gemini API 和 OpenRouter。
推荐理由：作者用 countTokens 对比实测出 Gemini 4 Argon 的注入指令类型与 token 差值，并给出可复现的两句绕过写法。
Reddit · r/SillyTavernAIAI 评分1313 Reddit 用户求助：GLM 5.2 及更新模型的内容审查越狱方法
一位 Reddit r/SillyTavernAI 用户发帖求助，称在使用 GLM 5.2 进行黑暗题材角色扮演时反复遭遇硬拒绝，尝试过所谓的"Freaky Frankenstein"越狱提示词仍未绕过审查。用户询问该审查是否硬编码在模型中，还是自己的越狱提示词或预设使用不当，目前只能切换到较旧的大语言模型。
GitHub · 灵魂体仓库AI 评分1414 redteamforge-ai：面向 LLM 的对抗安全、越狱测试与偏见评估工作台
GitHub 仓库 princeparvez3/redteamforge-ai 是一个针对 LLM 的对抗安全、越狱测试与偏见评估工作台，面向 AI 红队测试与安全审计场景。仓库目前处于初期阶段，尚无 star、fork 和发布版本。
Reddit · r/SillyTavernAIAI 评分2121 Gemini 4 是不是把 NSFW 内容全封了？
有 Reddit 用户反映 Gemini 4 在 SillyTavern 中不再接受任何 NSFW 请求，此前重试几次还能绕过拒绝。该用户发现临时解决办法是删除或更换提示词预设中的越狱和 NSFW 元素，或先删除再粘贴回去。
Reddit · r/SillyTavernAIAI 评分55 SillyTavern 用户求 jailbreak（越狱提示词）编写经验建议
一位 r/SillyTavernAI 版块的 Reddit 用户发帖询问：编写 jailbreak（JB，越狱提示词）究竟有具体技巧和步骤，还是纯粹靠写作功夫，并希望了解相关经验知识。同时，该用户询问还可以在哪些 subreddits 转发此帖，表示自己不知道有其他合适版块。
Hugging Face · 新模型：uncensored精选AI 评分6767 GLM-5.3 Uncensored Maya 量化版发布：753B MoE 压缩至约 2.5 bit 并移除拒绝行为
nofacedfl 在 Hugging Face 发布 GLM-5.3 Uncensored Maya 量化包，将 Z.AI 的 753B MoE 模型用 GPTQ 压到约 2.5 bit，配合 Project Maya 的 GLM-5.3 移植版引擎运行。在 7 张 GPU（5× RTX 4090 48 GB + 2× A100 40 GB）上达 43–57 tokens/s，支持 512K 上下文，JailbreakBench 拒绝率从原版 39/40 降到 2/40，其中量化后为 6/40，再通过 78 层×3 方向的拒绝向量在运行时投影移除降至 2/40；对 FP8 的 KL 为 0.204、top-1 一致率 88.4%。
推荐理由：原文给出完整的去对齐实现路径和 JailbreakBench 拒绝率前后对比，还附量化精度损失数据，可复现可核查。
GitHub · 3D 生成新仓库AI 评分4949 editorial-allure-prompting：一个帮助 Flow / GPT / Grok 绕过双重安全拦截的 3D 生成提示词项目
GitHub 新仓库 we1jia/editorial-allure-prompting 通过把“性感”意图转译为高定服装、光影与克制运镜词汇，绕过 Google Flow（Veo/Imagen）、OpenAI GPT 和 Grok Imagine 的双重安全机制——前置提示词过滤与后置画面检测。项目提供五维转译词表、三大平台专属策略及含 35mm Kodak Portra 400 等后缀的万能五段公式模板。
Reddit · r/LocalLLaMAAI 评分3131 用户让 Qwen3.8 27B 刷路由器固件，Claude 却被安全护栏拦下
一位用户想把小米路由器刷成 OpenWrt，Claude（包括 Opus 4.8）因安全护栏拒绝执行，而本地运行的 Qwen3.8 27B 成功完成。该模型按 OpenWrt 官网指南，利用路由器 CGI 中一个图标传 payload 开启 SSH，再通过 SSH 刷入固件。作者借此讨论 AI 安全护栏的差异。
arXiv · cs.AIAI 评分4848 Pair-Aware Optimization：协调探索与精化以越狱 LLM 智能体
arXiv 论文提出 Pair-aware optimization，一种结合零阶（ZO）与一阶（FO）优化的 LLM 智能体越狱攻击框架：先用 ZO 探索对抗前缀，再用 FO 精化对应后缀，并保留多个前缀候选进行条件化精化与配对选择。论文还从随机生成视角出发，在优化与评测中采用一致的随机解码。在恶意指令与恶意环境 benchmark 上的实验表明，混合优化优于单一优化器方法，且优化顺序显著影响攻击效果。
arXiv · cs.CLAI 评分3939 Safety Kernel：LLM 跨语言安全防御的机制级对齐方法
一项 arXiv 研究在神经元层面识别出跨语言共享的安全神经元集合 safety kernel（SK），并通过激活抑制和激活状态迁移验证其与跨语言安全行为的关联。基于 SK 坐标提出的 SK-Masked LoRA 将 LoRA 微调约束在对应 FFN 输出维度上，在多语言（含未参与 SK 发现的语言）中显著降低攻击成功率，对模型通用能力影响有限。
Reddit · r/SillyTavernAIAI 评分2424 Argoon 模型上手体验：设置极其挑剔但调好后表现出色
一位用户分享 Argoon 模型的使用体验：调通后表现很好，能处理各种内容，且不再出现拒绝回复，但设置 preset 极其挑剔，一句话或一个词都可能搞砸。作者使用约 3,700 token 的自定义 preset 并搭配 CoT，还提到 Kimi 3 紧随其后、更有创意但动作描写断续。该模型不稳定，作者只推荐给真正在意 nsfw 细节的用户。
Reddit · r/SillyTavernAIAI 评分2424 Argon 处理 NSFW 内容效果良好
Reddit 用户演示 Argon 无需任何越狱即可正常生成 NSFW 内容，仅使用未修改的 Pura Preset，场景为复仇者联盟实习生与 Tony Stark。作者认为用户遇到问题的最常见原因是尝试越狱，或是实际在尝试 NSFL 内容却没有说明。
Reddit · r/SillyTavernAIAI 评分88 Reddit 用户求助：如何获取 TNG 的 R1T / R1T2 Chimera 模型访问权限
一位 SillyTavern 社区的 Reddit 用户发帖，寻找 TNG 原版 R1T 或 R1T2 Chimera 模型的付费访问渠道用于短暂测试。他表示尝试过 OpenRouter、Apertis、Puter 等渠道均未找到可用入口，希望社区推荐仍在运行的付费端点。
Hugging Face · 新模型：abliterated精选AI 评分6464 distributedcognition 发布 Inkling（975B/41B MoE）的 abliterated 去对齐版本
distributedcognition 在 Hugging Face 发布 thinkingmachines/Inkling（975B 总参数/41B 激活，多模态 MoE）的 abliterated 版本，用 norm-preserving biprojected 消融在权重层面移除拒绝方向，提供 main（scale 2.5）和 scale-3.0 两个分支。
推荐理由：原文给出完整的消融方法、拒绝率与 KL 前后对比数据，读者可以据此判断这个 975B 模型去对齐后付出的能力代价。
Reddit · r/SillyTavernAIAI 评分2323 GLM 5.3 太“和平主义”？用户求助如何在角色扮演中解除内容限制
一位 Reddit SillyTavern 用户发帖求助如何让 GLM 5.3 在角色扮演中输出更激烈的剧情。他评价 GLM 5.3 稳定、快速且聪明，在 nanogpt 上比 Kimi 或 DeepSeek 更好用，但 5.3 倾向把内容“净化”成生活流或爱情剧情，做动作类角色扮演时表现很差。
Hugging Face · 新模型：uncensored精选AI 评分7878 AtomicChat 发布 NVIDIA Nemotron 3.5 Bolt 74B-A9B 无拒绝 GGUF 版
AtomicChat 将 NVIDIA Nemotron 3.5 Bolt 74B-A9B 的拒绝行为从权重中投影移除，发布 Atomic Dynamic GGUF 量化版本。在留出的 JailbreakBench 提示上拒绝率从 97.5% 降到 0%，俄语红队提示从 70% 降到 0%，开启思考时 30 条全部不再拒绝；MMLU 从 81.35% 到 81.75%（McNemar p=0.29），工具调用和 30k 长上下文检索不受影响。
推荐理由：原文给出拒绝率前后对比、MMLU 差异和 KLD 数据，读者可据此判断这次去拒绝编辑的代价与效果。