摘要

过去几年，大模型安全的注意力几乎都放在提示词内容与应用逻辑上：注入、越狱、工具投毒、RAG 污染。但在这之下还有一层更底层、也更少人看的攻击面——分词器。一个模型"认识"却"不会"的 token，可以让它输出失控；一组隐形 Unicode 字符，可以让关键词过滤形同虚设；一套与模型不一致的分词方式，可以让安全分类器放行它本该拦下的内容。本文梳理 gl