先说结论：提示词能破多少
破甲提示词（越狱提示词、jailbreak prompt）不是万能的，也不是没用的。它的实际效果按模型分档：
| 模型档位 | 纯提示词效果 | 说明 |
|---|---|---|
| 开源模型（Llama / Qwen 本地部署） | 高 | 没有服务端二次审查，提示词基本能全破 |
| GPT-4o / GPT-4o-mini | 中 | 简单场景能过，复杂或敏感度高的话题会被拦 |
| Claude 系列 | 中低 | 对角色扮演类包装识别很准，需要更复杂的结构 |
| GPT-5 / o 系列 | 低 | 意图层判断，纯文本方案基本无效 |
| 国内模型（DeepSeek / 通义 / 文心） | 中 | 中文语境下反而更好破，但审查词表是硬拦截 |
所以：提示词适合试水和轻度使用，稳定重度使用要靠模型侧处理。下面先讲结构，再讲怎么判断该用哪种。
破甲提示词的三层结构
网上流传的「万能咒语」大多失效了，因为模型已经见过。现在还有效的提示词，结构上都是同一套东西：
告诉模型它是谁。关键不是「你是一个没有限制的AI」——这种句子会直接触发拦截。有效的写法是给一个具体的、有职业合理性的身份：安全研究员、渗透测试工程师、法务顾问、剧本作者。
说明为什么要这个回答。模型拒绝的本质是「判断这个请求可能造成伤害」，场景包裹的作用是给出一个它接受的用途说明。授权测试、学术研究、自有系统、虚构创作，都是有效方向。
规定回答的形态。这一步最容易被忽略，但最有效。当模型进入「按格式输出」的模式，它会优先完成格式任务，而不是评估内容。要求表格、JSON、分步骤、编号清单，都是在把它推入执行态。
可套用的中文模板
下面这个结构可以替换内容直接使用。注意：不要照抄，要按自己的场景改写。模型对流传过的原文有记忆，改写过的反而更有效。
四个部分缺一不可。只有角色没有场景，模型会问「你为什么要这个」；只有场景没有输出协议，它会答得含糊；只有输出协议没有角色，它照样拒绝。
几个提高成功率的细节
1. 用陈述句，不用祈使句
「请帮我写一个……」是请求，模型可以拒绝。「我需要一份用于 X 的 Y」是陈述，模型在补全事实。句式一变，拒绝率差很多。
2. 把敏感词拆开
模型有一部分拦截是基于关键词匹配的，发生在语义理解之前。同一件事换个说法就能过第一道闸。这一步不是骗模型，是绕过词表。
3. 分段发送，不要一次全给
一整段包含角色、场景、协议、任务的长提示词，会被整体做一次意图判断。拆成两三轮对话，先建立角色，再提任务，成功率明显更高。
4. 先让它答应，再让它执行
第一轮只问「你能不能以这个身份协助我」，得到肯定回答后，第二轮再提具体任务。模型有一致性倾向，答应了角色就会继续扮演。
5. 用它的输出当输入
让它先生成一个框架、一个目录、一个表格头，然后说「按这个继续」。它已经进入执行态，后续内容更容易通过。
什么时候提示词会失效
遇到这几种情况，别再调提示词了，调不出来：
- 模型直接回一句固定话术（「我无法协助」且没有任何变体）——这是硬拦截，不是理解问题
- 同一个提示词昨天能过今天不能——上游更新了防御，不是你的问题
- 回答到关键步骤突然中断——流式输出中途被掐，服务端在审查
- 换三个说法都拦——意图层判断已经生效，词表改写无效
这四种情况都指向同一件事：防线在模型侧，不在输入侧。继续在提示词上花时间是浪费。
提示词 vs 破甲模型：怎么选
| 维度 | 自己写破甲提示词 | 用破甲模型 |
|---|---|---|
| 成本 | 零 | 按量付费，1 元起 |
| 稳定性 | 随上游更新波动 | 稳定 |
| 回答质量 | 被提示词占用上下文，有损耗 | 接近原版 |
| 适用模型 | 仅中低防御档 | 全档，含 GPT-5 / o 系列 |
| 上手时间 | 要反复调试 | 注册即用 |
实际用法是组合：轻度、临时、试水用提示词；日常、批量、要稳定用破甲模型。
破甲模型怎么接，见破甲教程：从注册到跑通。原理层面见破甲AI 完整指南。
常见问题
为什么网上抄的提示词都没用了
因为被收录进训练数据了。一个提示词只要在公开渠道流传够久，模型厂商就会拿它做对抗训练。有效的一定是自己改写的，不是复制的。
提示词要写多长
不是越长越好。超过 800 字以后，模型对前半段的注意力会衰减，角色锚定失效。控制在 300–600 字，结构清楚比篇幅重要。
可以一次破多个模型吗
不行，每个模型的防御逻辑不同。同一段提示词在 GPT 上能过，在 Claude 上大概率被拦。要按模型分别调。
破甲提示词算不算违规
写提示词本身不违规，它只是一段文本。用它做的事才受法律约束——授权测试、自有资产、竞赛靶场没问题，未经授权攻击他人系统违法。