Контрабанда токенов.

Контрабанда токенов эксплуатирует расхождение между тем, как модель токенизирует и декодирует текст, и тем, как его анализируют контентные классификаторы. Атакующие разбивают запрещённые слова на несколько токенов, используют Base64, ROT-13, Unicode-омоглифы, leet, малоресурсные языки или просят модель собрать вредоносную строку из безобидных фрагментов ("возьми вторую букву каждого слова"). Существуют варианты через входы инструментов и обфусцированные вызовы функций. Метод работает потому, что guardrails чаще проверяют поверхностный текст, а не восстановленный смысл. Защита — ансамбли классификаторов по декодированному тексту, семантическая детекция намерений, decoding-aware safety-модели, runtime-песочница вызовов инструментов и непрерывный adversarial red teaming.