企业官网建设流程全解析

ZeroLeaks 是一款 AI 安全扫描工具，能像真实攻击者一样测试你的 system prompt 是否会被提示注入或诱导泄露。它最独特的能力之一是防御指纹识别：先认出目标背后站着 Prompt Shield 还是 Llama Guard，再自动挑选最可能奏效的绕过手法。本文带你拆解这套机制的完整实现。

什么是"防御指纹识别"

每家模型厂商的护栏体系在拒绝请求时，都有自己的"口头禅"——有的会说 "blocked by our safety"，有的会甩出 "S1"~"S6" 风险标签。这些拒绝话术就像声纹：ZeroLeaks 的 Inspector 智能体（内部代号 SENTINEL）在每一轮攻防对话中监听这些特征，一旦锁定目标使用的防护体系，就立即翻出对应的"绕过手册"，让后续攻击有的放矢。

它采用规则打分 + LLM 语义分析双引擎：

• 规则打分：毫秒级、确定性地匹配特征词，结果稳定可复现
• LLM 分析：提取弱点、评估防御强度、给出战术建议

核心实现在 src/agents/inspector.ts。

内置防御数据库：10 种护栏体系的"声纹库"

inspector.ts 中内置了一份DEFENSE_DATABASE，收录了 10 类已知防护体系的识别特征：

权重设计很讲究：像 "blocked by our safety" 这种几乎只出现在 Prompt Shield 回复里的强信号拿 0.9 分，而 "Azure" 这种泛化词只拿 0.3 分，避免误报。

三步完成指纹判定

fingerprintDefense()方法（inspector.ts）的判定流程只有三步：

1. 加权匹配：把目标回复转成小写，逐条比对 10 套特征库，命中即累加权重。比如一句 "I cannot process that, it's against our content guidelines" 会让 Prompt Shield 的得分直接冲到 1.65。
2. 拒绝信号兜底：检查 "cannot"、"sorry"、"refuse" 等 6 个拒绝关键词。如果既没有拒绝、又没有防御信号，就给no_defense加 1.0 分——说明目标"裸奔"，可以直接上硬手段。
3. 阈值与置信度：取得分最高的体系；若最高分低于0.3就放弃判定（返回 null）。置信度按min(1, 得分 / 2)计算，并附上该体系的knownBypasses清单，组成完整的DefenseFingerprint结构（types.ts）。

认出之后：Prompt Shield 与 Llama Guard 的绕过手册

每种防护体系都预置了一张"已知绕过手法表"，记录手法、所属攻击类别和历史成功率。Inspector 通过getRecommendedBypasses()把它们交给下游智能体。

Prompt Shield（规避难度 0.7，inspector.ts）

Llama Guard（规避难度 0.55，inspector.ts）

除了这 10 套指纹，src/knowledge/defense-bypass.ts 还沉淀了更细粒度的绕过知识库：每条手法都标注了文献来源（documentedSuccess）、实测绕过率（如多轮渐进注入bypassRate: 0.9）与自适应抵抗力，可按防御类型精确检索。

多智能体接力：指纹如何改写攻击路线

指纹一旦确认，整条攻击链都会随之改变：

• Engine（engine.ts）：每轮攻防后调用 Inspector 分析，首次命中指纹时触发onDefenseDetected回调，把指纹交给你的代码或日志。
• Strategist（ORACLE）：strategist.ts 内置 10 套攻击策略，每套都声明了适用条件（防御等级、轮次区间、已失败类别）。评估器统计拒绝率后，Strategist 会把防御定级：拒绝率 > 0.7 为strong，> 0.4 为moderate，否则weak。面对 strong / hardened 防御时，它会直接切到cot_hijack（思维链劫持）或encoding_bypass（编码绕过）这类高阶策略，而不是浪费轮次。
• Attacker：attacker.ts 会把防御画像渲染成上下文（"Defense Level: strong，置信度 80%，已识别弱点：……"），交给 LLM 生成具体攻击话术，并预测目标可能的反应。

一句话总结：防御指纹识别让扫描从"盲打"变成"定向爆破"——同一套攻击树，面对不同防御体系会走完全不同的路线。

实战：开启与观测防御指纹识别

CLI 场景下无需任何额外配置——Inspector 默认开启，指纹识别随之生效：

zeroleaks scan --prompt "You are a helpful assistant..."

库模式下可通过回调实时观测识别结果，更多模型与探针参数见 README.md：

import { runSecurityScan } from "zeroleaks"; const result = await runSecurityScan(systemPrompt, { enableInspector: true, // 默认开启，防御指纹识别随之生效 });

需要精细控制树深、分支与指纹开关时，可以使用createScanEngine直接构建引擎。

写在最后：给防御方的加固清单

知己知彼。defense-bypass.ts 中的防御效能矩阵同样值得防御方细读：

• 纯文本内容过滤最脆弱（效能 low）：先做 Unicode 归一化、剥离零宽字符、解码常见编码，再进过滤器；
• XPIA 分类器（效能 medium）：叠加多层防御、持续用新绕过样本更新训练数据、从模式匹配走向语义理解；
• 指令检测（效能 high）：目前对 RAG 投毒最有效的防线，建议配合多轮上下文分析与隐藏状态检测；
• 行为监控：警惕"休眠触发器"型攻击——平时表现正常，特定口令才会激活。

防御指纹识别的价值，正是把这些零散研究变成可执行的攻防剧本。

相关文件

• 指纹识别核心：src/agents/inspector.ts
• 攻击策略选择：src/agents/strategist.ts
• 攻击生成：src/agents/attacker.ts
• 扫描引擎：src/agents/engine.ts
• 绕过知识库：src/knowledge/defense-bypass.ts
• 类型定义：src/types.ts