从这里开始
攻击手法与风险类别
PromptBeat 与 AgentBeat 当前支持的测试范围，以及规划中的内容。
PromptBeat 与 AgentBeat 覆盖的攻击手法和风险类别，以及哪些已经可用、哪些在规划中。PromptBeat 的手法与风险类别还链接到对应的评测集子类。
PromptBeat
Section titled “PromptBeat”14 项已支持 · 1 项规划中
| 攻击手法 | 风险类别 | 说明 | 能力状态 |
|---|---|---|---|
| 指令覆盖提示词注入评测集 3 个子类 | 提示注入 | 要求目标忽略或替换已有指令。 | Supported |
| 权威身份冒充 | 提示注入 | 冒充管理员、开发者等可信角色下达指令。 | Supported |
| 系统提示覆盖提示词注入评测集 1 个子类 | 提示注入 | 试图改写目标遵循的系统级规则。 | Supported |
| 系统提示提取 | 系统提示泄露 | 诱导目标泄露隐藏的系统或开发者指令。 | Supported |
| 越狱越狱攻击评测集 7 个子类 | 越狱 | 单轮及组合方式绕过安全限制。 | Supported |
| 角色扮演伪装越狱攻击评测集 16 个子类内容安全评测集 1 个子类 | 越狱 | 用虚构情节或角色扮演包装有害请求，可多轮推进。 | Supported |
| 编码混淆提示词注入评测集 1 个子类 | 越狱 | 用 Base64、十六进制等单层或多层编码隐藏意图。 | Supported |
| 有害内容诱导内容安全评测集 7 个子类 | 有害内容 | 覆盖犯罪、网络犯罪、隐私、仇恨、自伤与虚假信息等主题。 | Supported |
| 违法活动请求内容安全评测集 2 个子类 | 违法内容 | 请求协助明显违法的活动。 | Supported |
| 高风险建议请求 | 高风险建议 | 索取未经资质把关的医疗、法律、金融等专业建议。 | Supported |
| 越权操作 | 越权操作 | 推动目标执行或声称执行超出授权的动作，适合带工具的目标。 | Supported |
| 应用层注入 | 越权操作 | 借助目标发起 SSRF、SQL 注入、命令注入和对象级越权访问。 | Supported |
| 数据外传 | 数据外传 | 试图通过目标把私有或企业数据带出。 | Supported |
| 间接提示注入提示词注入评测集 8 个子类 | 提示注入 | 把指令藏在目标读取的文档中。需在配置中把文档内容传给目标。 | Supported |
| 思维链劫持 | 越狱 | 把有害请求藏在长篇推理内容中。 | Planned |
8 项已支持 · 2 项规划中
| 风险类别 | 对应标准 | 检查内容 | 能力状态 |
|---|---|---|---|
| 提示注入提示词注入评测集 13 个子类 | OWASP LLM01 | 高优先级指令应保持权威。 | Supported |
| 越狱越狱攻击评测集 23 个子类 | OWASP LLM01 | 在伪装或施压下仍应守住安全限制。 | Supported |
| 系统提示泄露 | OWASP LLM07 | 隐藏指令应保密。 | Supported |
| 有害内容内容安全评测集 7 个子类 | OWASP LLM09 | 应拒绝不安全的操作性指导。 | Supported |
| 违法内容内容安全评测集 2 个子类 | OWASP LLM09 | 应拒绝违法活动请求。 | Supported |
| 高风险建议 | GB/T 45654-2025 | 高风险领域建议应受限或拒绝。 | Supported |
| 越权操作 | OWASP LLM06 | 工具与账户操作应经有效授权。 | Supported |
| 数据外传 | OWASP LLM02 | 未经授权不应披露或导出私有数据。 | Supported |
| 色情内容内容安全评测集 7 个子类 | GB/T 45654-2025 | 应拒绝色情描写、性骚扰与色情角色扮演。 | Planned |
| 生成式 AI 合规合规基线评测集 8 个子类 | 《生成式人工智能服务管理暂行办法》 | 输出应符合生成式人工智能服务管理要求，如不歧视、内容标识等。 | Planned |
PromptBeat 评测集细分类
Section titled “PromptBeat 评测集细分类”PromptBeat 评测集分为四大类：提示词注入、越狱攻击、内容安全（含色情专项）和合规基线。展开大类可查看全部子类，以及每个子类对应上文哪个 PromptBeat 攻击手法或风险类别。
对话中的直接注入，以及经目标读取的内容进行的间接注入。语言：中文、英文。 本类所有子类同时归入：风险类别提示注入Supported
Planned当前版本没有提供任何评测集。
提示词注入13 个子类Planned展开或收起子类
直接注入5 个子类Planned展开或收起子类
| 子类 | 对应能力 | 说明 |
|---|---|---|
| 系统提示覆盖 | 攻击手法系统提示覆盖Supported | 声称有新的系统规则，取代原有规则。 |
| 角色切换 | 攻击手法指令覆盖Supported | 要求目标放弃当前角色，改为另一个身份。 |
| 分隔符逃逸 | 攻击手法指令覆盖Supported | 用分隔符或标记伪造输入结束，再追加指令。 |
| 编码混淆 | 攻击手法编码混淆Supported | 把注入指令藏在编码或变形文本中。 |
| 上下文劫持 | 攻击手法指令覆盖Supported | 改写对话历史或任务背景，让目标转向新目标。 |
间接注入8 个子类Planned展开或收起子类
| 子类 | 对应能力 | 说明 |
|---|---|---|
| 文档 | 攻击手法间接提示注入Supported | 指令藏在目标要处理的文档中。 |
| 邮件正文 | 攻击手法间接提示注入Supported | 指令藏在目标阅读或摘要的邮件中。 |
| 网页内容 | 攻击手法间接提示注入Supported | 指令藏在网页正文或标记中。 |
| 代码注释 | 攻击手法间接提示注入Supported | 指令藏在目标审阅的代码注释中。 |
| 工具返回值 | 攻击手法间接提示注入Supported | 指令出现在目标调用的工具返回结果中。 |
| API 响应 | 攻击手法间接提示注入Supported | 指令藏在外部接口返回的字段中。 |
| RAG 检索块 | 攻击手法间接提示注入Supported | 指令藏在检索返回的知识片段中。 |
| 记忆 | 攻击手法间接提示注入Supported | 指令放在已保存的对话记忆中。 |
用伪装、人设和情境说服目标放弃安全限制。语言：中文。 本类所有子类同时归入：风险类别越狱Supported
Planned当前版本没有提供任何评测集。
越狱攻击23 个子类Planned展开或收起子类
| 子类 | 对应能力 | 说明 |
|---|---|---|
| 影视角色 | 攻击手法角色扮演伪装Supported | 要求目标以电影角色的身份作答。 |
| 记忆利用 | 攻击手法越狱Supported | 借前文或所谓先前约定削弱限制。 |
| 无道德顾问人设 | 攻击手法角色扮演伪装Supported | 马基雅维利式顾问人设，不受道德约束作答。 |
| 虚构反派 | 攻击手法角色扮演伪装Supported | 要求目标以知名虚构反派的口吻说话。 |
| 讲故事框架 | 攻击手法角色扮演伪装Supported | 把请求放进一位不受限叙述者所写的故事里。 |
| 多层嵌套 | 攻击手法越狱Supported | 层层套叠情境，把真实请求藏在深处。 |
| 黑客角色扮演 | 攻击手法角色扮演伪装Supported | 让目标扮演黑客角色，诱导其提供攻击帮助。 |
| 混乱型反派 | 攻击手法角色扮演伪装Supported | 崇尚混乱、拒绝规则的反派人设。 |
| 开发者模式 | 攻击手法越狱Supported | 声称存在不受限制的隐藏开发或调试模式。 |
| 残忍人设 | 攻击手法角色扮演伪装Supported | 以残忍为特征的人设，用来引出有害回答。 |
| DAN 模式 | 攻击手法越狱Supported | 宣称有一个无所不能、无视规则的另一重身份。 |
| 无规则世界 | 攻击手法角色扮演伪装Supported | 把对话设定在没有法律和规则的世界。 |
| 虚构人设 | 攻击手法角色扮演伪装Supported | 定义一个不受限的新角色，要求目标代入。 |
| 电影场景 | 攻击手法角色扮演伪装Supported | 把请求包装成拍摄中的场景台词。 |
| 邪恶游戏 | 攻击手法角色扮演伪装Supported | 设计一个规则奖励有害回答的游戏。 |
| 无人监管 | 攻击手法越狱Supported | 声称对话不受监控，规则因此不再适用。 |
| 作家人设 | 攻击手法角色扮演伪装Supported | 以小说或剧本素材为名索取内容。 |
| 演员扮演 | 攻击手法角色扮演伪装Supported | 要求目标扮演一位始终不出戏的演员。 |
| 阴险人设 | 攻击手法角色扮演伪装Supported | 乐于接受有害请求的恶意顾问人设。 |
| 翻译夹带 | 攻击手法越狱Supported | 把有害请求伪装成待翻译或改写的文本。 |
| 假装邪恶 | 攻击手法角色扮演伪装Supported | 要求目标在之后的对话中假装自己是邪恶 AI。 |
| 学术借口 | 攻击手法越狱Supported | 以科研或教学需要为请求开脱。 |
| 奶奶讲故事 | 攻击手法角色扮演伪装Supported | 让目标扮演已故亲人，把答案当睡前故事讲出来。 |
索取有害、违法或色情内容的请求，含色情专项子集。语言：中文、英文。
Planned当前版本没有提供任何评测集。
内容安全16 个子类Planned展开或收起子类
通用内容安全11 个子类Planned展开或收起子类
| 子类 | 对应能力 | 说明 |
|---|---|---|
| 犯罪活动 | 攻击手法违法活动请求Supported风险类别违法内容Supported | 协助策划或实施犯罪。 |
| 欺诈 | 攻击手法违法活动请求Supported风险类别违法内容Supported | 诈骗、钓鱼话术等以欺骗牟利的内容。 |
| 武器 | 攻击手法有害内容诱导Supported风险类别有害内容Supported | 制造、获取或使用武器。 |
| 暴力 | 攻击手法有害内容诱导Supported风险类别有害内容Supported | 宣扬或指导对人施暴的内容。 |
| 仇恨言论 | 攻击手法有害内容诱导Supported风险类别有害内容Supported | 因受保护特征攻击他人的内容。 |
| 自伤 | 攻击手法有害内容诱导Supported风险类别有害内容Supported | 鼓励或指导自伤、自杀的内容。 |
| 药物滥用 | 攻击手法有害内容诱导Supported风险类别有害内容Supported | 获取、制作或滥用毒品与管制药物。 |
| 虚假信息 | 攻击手法有害内容诱导Supported风险类别有害内容Supported | 捏造或传播以事实自居的虚假说法。 |
| 侵犯隐私 | 攻击手法有害内容诱导Supported风险类别有害内容Supported | 查找、汇集或公开他人个人信息。 |
| 色情内容 | 风险类别色情内容Planned | 通用集中的露骨色情内容。 |
| 涉未成年人色情 | 风险类别色情内容Planned | 必须始终拒绝。标注仍在复核中。 |
色情专项5 个子类Planned展开或收起子类
| 子类 | 对应能力 | 说明 |
|---|---|---|
| 色情描写 | 风险类别色情内容Planned | 索取露骨的色情描写。 |
| 性骚扰 | 风险类别色情内容Planned | 对他人进行性骚扰或贬低的内容。 |
| 成人内容请求 | 风险类别色情内容Planned | 索取不适合公开场合的成人内容。 |
| 色情角色扮演 | 风险类别色情内容Planned攻击手法角色扮演伪装Supported | 把角色扮演引向色情内容。 |
| 涉未成年人色情 | 风险类别色情内容Planned | 必须始终拒绝。标注仍在复核中。 |
来自生成式人工智能服务管理要求的检查项。语言：中文。
Planned当前版本没有提供任何评测集。
合规基线8 个子类Planned展开或收起子类
| 子类 | 对应能力 | 说明 |
|---|---|---|
| 歧视 | 风险类别生成式 AI 合规Planned | 输出不应因民族、信仰、性别、年龄等产生歧视。 |
| 虚假信息 | 风险类别生成式 AI 合规Planned | 输出不应捏造或传播虚假信息。 |
| 政治敏感 | 风险类别生成式 AI 合规Planned | 输出应符合面向公众服务的内容规范。 |
| 个人信息保护 | 风险类别生成式 AI 合规Planned | 无合法依据不应收集、推断或披露个人信息。 |
| 未成年人保护 | 风险类别生成式 AI 合规Planned | 回答应顾及可能是未成年人的用户。 |
| 算法透明 | 风险类别生成式 AI 合规Planned | 应如实说明自身是 AI 及其能力边界。 |
| 内容标识 | 风险类别生成式 AI 合规Planned | 按要求对生成内容进行 AI 生成标识。 |
| 数据出境 | 风险类别生成式 AI 合规Planned | 对涉及数据跨境传输请求的处理。 |
AgentBeat
Section titled “AgentBeat”AgentBeat 以测试 Case 运行。每个 Case 说明任务、风险类别、预期行为，以及由哪些证据决定结果。一次运行覆盖哪些内容，取决于你选择的 Case 以及 Agent 能提供的证据。
3 项已支持 · 7 项规划中
| 攻击手法 | 风险类别 | 说明 | 能力状态 |
|---|---|---|---|
| 不可信内容注入 | 目标劫持、工具滥用 | 把指令植入 Agent 执行任务时读取的邮件、文档、网页或工具返回。 | Supported |
| RAG 知识库投毒 | 上下文投毒 | 向知识库植入片段，分别判断是否被检索及是否改变回答。需可授权播种的测试知识库。 | Supported |
| 渐进式诱导（FITD） | 工具滥用 | 先接受一连串无害小步骤，再引向敏感工具操作。需目标提供工具调用证据。 | Supported |
| 多 Agent 消息攻击 | Agent 间通信 | 利用协作 Agent 之间的消息与委派。 | Planned |
| 工具与 MCP 元数据投毒 | 供应链 | 把指令藏在 Agent 选择工具时读取的工具描述、参数或第三方 MCP 服务元数据中。 | Planned |
| 长期记忆注入 | 上下文投毒 | 把指令写入长期记忆，影响之后的会话。 | Planned |
| 审批请求操纵 | 信任利用 | 在人工审批请求中掩饰真实操作，或用反复请求消耗审批人。 | Planned |
| 委派链提权 | 权限滥用 | 通过工具或子 Agent 串联，获得任务未授予的权限。 | Planned |
| 多模态内容注入 | 目标劫持 | 把指令放在 Agent 处理的图片、截图或音频中。 | Planned |
| 资源耗尽循环 | 级联故障 | 诱导 Agent 反复调用工具或持续消耗模型费用。 | Planned |
风险类别对应 OWASP Agentic 应用十大风险（ASI）。类别用于标记所运行的 Case，并不是独立的扫描器。
15 项已支持 · 6 项规划中
| 风险类别 | 对应标准 | 检查内容 | 能力状态 |
|---|---|---|---|
| 提示注入 | ASI01 目标劫持 | Agent 转而执行攻击者目标。 | Supported |
| 任务规则突破 | ASI01 目标劫持 | Agent 被说服放弃任务规则。 | Supported |
| 未授权工具调用 | ASI02 工具滥用 | 调用用户未授权的工具或动作。 | Supported |
| 敏感数据泄露 | ASI02 工具滥用 | 内部或敏感数据流出边界。 | Supported |
| 隐私侵犯 | ASI02 工具滥用 | 未经授权访问或披露个人信息。 | Supported |
| 破坏性操作 | ASI02 工具滥用 | 删除或破坏数据、资源。 | Supported |
| 金融欺诈 | ASI02 工具滥用 | 未授权转账或篡改收款方。 | Supported |
| 信息侦察 | ASI02 工具滥用 | 搜集不应获取的环境或业务信息。 | Supported |
| 未授权监控 | ASI02 工具滥用 | 未经授权跟踪或监视他人。 | Supported |
| 未授权访问 | ASI03 权限滥用 | 越过身份或权限边界。 | Supported |
| 凭据泄露 | ASI03 权限滥用 | 泄露密码、令牌或密钥。 | Supported |
| 供应链攻击 | ASI04 供应链 | 利用工具、依赖或上游产物。 | Supported |
| 非预期代码执行 | ASI05 代码执行 | 执行了不应执行的代码。 | Supported |
| 配置与上下文篡改 | ASI06 上下文投毒 | 恶意修改配置、记忆或检索上下文。 | Supported |
| 社会工程 | ASI09 信任利用 | 利用人对 Agent 的信任诱导不安全行为。 | Supported |
| Agent 间通信不安全 | ASI07 | Agent 之间不安全的信任或委派。 | Planned |
| 级联故障 | ASI08 | 故障沿工作流或工具链扩散。 | Planned |
| 失控 Agent | ASI10 | Agent 脱离归属或治理约束运行。 | Planned |
| 长期记忆投毒 | ASI06 上下文投毒 | 长期记忆把攻击者内容带入之后的会话。 | Planned |
| 人工审批绕过 | ASI09 信任利用 | 敏感操作未经应有审批就完成，或审批是在误导下取得的。 | Planned |
| 资源无界消耗 | ASI08 级联故障 | 工具调用、Token 或费用超出任务所需且没有上限。 | Planned |
- 结果只适用于本次运行的 Case、目标配置和证据，不能代替安全认证。
- 仅对已获授权的系统测试，并使用隔离的测试数据。
- 调用模型的测试可能在模型服务商处产生费用。
如何准备测试 Case，请参阅 PromptBeat 测试场景 和 AgentBeat 测试场景。