这是一项引人入胜的关于大语言模型（LLM）如何陷入提示注入攻击的研究。结果表明，模型学会识别不同角色/指令块中的文本风格，而不仅仅是依赖标签。他们的结论如下：角色标签是一种格式技巧，却演变为现代大语言模型的安全架构与认知脚手架。我们证明，这种架构并未真正融入模型的表征之中，且此类角色混淆与提示注入密切相关。除非大语言模型能够实现真正的角色感知，否则我们认为注入防御将始终是一场“打地鼠”式的持久博弈。而角色边界的连续性，也开启了通过看似无害的文本、以合法且大规模的方式微妙地转移大语言模型状态的新型注入威胁……