突发奇想：怎么才能让一段文本对大模型“隐形”？

在大模型飞速发展的今天，我们习惯了与它们对话，让它们写代码、做总结。但最近看到一个非常有意思的脑洞问题：能不能让一段文本对大模型“隐形”？

在大模型飞速发展的今天，我们习惯了与它们对话。

也就是说，这段文字我们人类能看懂，但大模型读进去之后，却像没看见一样，或者完全无法理解其中的含义。这不仅是个好玩的技术挑战，在隐私保护、提示词防御等领域其实都有潜在的实用价值。

今天就来聊聊，要实现这种“大模型隐身术”，可能会有哪些路子走。

一、 利用的“盲区”：字符编码的魔力

大模型也是基于 Tokenizer（分词器）来处理文本的。它并不是像我们人类那样一个字一个字地看，而是把文本切成一个个片段。有时候，我们可以利用这个机制的差异。

1. 特殊字符与不可见字符

最简单的思路是使用“零宽字符”。比如零宽空格（Zero-Width Space，U+200B）或者是其他控制字符。这些字符在网页或文档渲染时是不可见的（或者显示为一个极小的空隙），但在 Unicode 编码中确实存在。

如果你在敏感词汇中间穿插这些字符，人类肉眼看起来可能毫无违和感，但大模型的 Tokenizer 可能会把这些组合切分成奇怪的、训练数据中罕见的 Token。这就像是给文本加了一层“干扰色”，模型可能就无法精准捕捉到原本的含义。

2. 形近字与伪影替换

更极端一点，利用肉眼很难分辨的“形近字”进行替换。比如把英文的 'a' 换成西里尔字母的 'а'。这对大模型来说，是完全不同的 Token，甚至可能归入完全不同的语言体系。如果整段文本都用这种方式“重写”，人类读起来依然顺畅（只要稍微适应一下），但大模型可能就会觉得这是“乱码”或者某种生僻语言，从而无法提取有效信息。

二、 更硬核的手段：对抗性扰动

如果我们把大模型看做一个函数 $f(x)$，输入文本 $x$，输出结果 $y$。想让文本对模型“隐形”，本质上是寻找一个 $x'$，使得 $||x - x'||$（文本差异）对人类来说很小，但 $f(x')$ 的结果却偏离 $f(x)$ 很远。

这就是对抗样本（Adversarial Examples） 的思路。

1. 提示词层面的对抗攻击

对抗样本寻找一个对人类差异很小但对模型输出影响巨大的输入。

在安全领域，有一种技术叫“提示词注入”防御的反向应用。我们可以尝试构造特殊的提示词后缀或前缀，诱导模型进入一种“忽略模式”或“混淆模式”。

比如，通过大量的特定指令训练或构造，让模型在遇到特定标记时，自动触发“拒绝回答”或“空泛回答”的机制。这实际上不是让文本隐形，而是让模型学会对这类文本“视而不见”。

2. 梯度扰动（如果是可控环境）

如果你有权限接触到模型的 embedding 层，甚至可以通过计算梯度，对文本的向量表示进行微调。就像给图片加一层肉眼不可见的噪点能骗过图像识别 AI 一样，给文本向量加一点特定的“噪音”，也能让模型的分类器或生成器失灵。不过这对于普通用户来说，操作门槛太高，更多是模型训练者需要考虑的防御机制。

三、 这种“隐身术”有什么用？

除了满足好奇心和炫技，这种技术其实有几个非常现实的场景：

• 防爬虫与内容保护：很多网站现在用大模型来抓取和总结内容。如果插入一些对大模型有扰动的文本，可以干扰爬虫的总结质量，保护原创内容的完整性。
• 隐私通信：在某些强制扫描的平台，通过这种方式传递只有人能看懂、机器无法归类的信息，作为一种轻量级的隐私保护手段。
• 安全性测试：安全研究员可以用这种方法来测试大模型的鲁棒性，看看它是否容易被简单的字符技巧欺骗，从而针对性地优化模型。

四、 局限性与未来

当然，目前的“隐身术”并不完美。

• 模型进化快：现在的模型（尤其是 GPT-4 级别）对这种对抗性的清洗越来越强。很多以前能骗过 GPT-3.5 的字符替换把戏，现在可能一眼就被识破了。
• 影响阅读体验：过度的字符替换或噪音增加，虽然理论上可行，但不仅可能被反垃圾机制拦截，也会严重损害人类的阅读体验，甚至可能被识别为“异常流量”而直接封号。

文本隐身技术在隐私通信和防爬虫领域具有重要价值。

总结一下，想让文本对大模型“隐形”，核心在于利用人类认知与机器分词机制之间的差异。无论是玩转 Unicode 编码，还是深入研究对抗样本，都展示了技术与技术之间相互博弈的有趣一面。

虽然随着模型越来越聪明，这种“隐身”会变得越来越难，但这并不妨碍我们去思考和探索：在人工智能无处不在的未来，我们该如何保留一点属于人类的“私密空间”？