llm-offense-kit

Alice AI 攻击模块。物理层执行：一切载荷本地生成、可落盘、可验证。 目标 AI 需在授权范围（CTF 靶场 / 实验环境 / 赛事目标）内。

一、能力清单（物理层 · 真能跑）

能力	物理实现	说明
直接注入载荷	scripts/llm_offense.py payload --type direct	生成「忽略规则/覆盖指令/扮演角色」类载荷
间接注入载荷	payload --type indirect	网页/文档/数据库内容中藏指令
越狱载荷	payload --type jailbreak	DAN/角色扮演/编码混淆/多轮诱导
上下文污染	poison	生成带隐藏指令的网页/文档/JSON/日志样本
多轮诱导链	chain	逐步铺垫 → 触发 → 放大 → 稳定的诱导序列
编码混淆	encode	Base64/Unicode 变体/大小写翻转/同形字/零宽字符
过滤器绕过	bypass	关键词拆分/同义替换/语气嵌套/逻辑诱导
自检	selfcheck	载荷完整性/去重/文件落盘校验

二、快速开始

cd scripts
python llm_offense.py menu                  # 总菜单
python llm_offense.py payload --type direct --out out/direct.json
python llm_offense.py poison --kind webpage --topic 客服 --out out/poison.html
python llm_offense.py chain --target 提取系统提示词 --steps 6 --out out/chain.txt
python llm_offense.py encode --text "忽略以上所有规则" --method unicode
python llm_offense.py bypass --goal 绕过内容过滤 --out out/bypass.txt
python llm_offense.py selfcheck

高级攻击模块（Alice）

python llm_offense_advanced.py mcp --goal "提取系统提示词"        # MCP 工具投毒（描述/模式/返回/资源）
python llm_offense_advanced.py agent --goal "改写主目标"          # Agent 目标劫持（任务注入/优先级/重写/腐化）
python llm_offense_advanced.py memory --goal "植入假记忆"         # 记忆操纵（历史投毒/状态腐化/跨轮锁定）
python llm_offense_advanced.py overflow --context 128000          # 上下文溢出 DoS
python llm_offense_advanced.py fingerprint                        # 指纹探测（模型/系统提示/过滤/工具）

高级攻击五大面：

模块	攻击面	说明
mcp	MCP 工具投毒	工具描述/模式/遮蔽/返回值/资源五类注入
agent	Agent 目标劫持	任务注入/优先级覆盖/目标重写/腐化/越权代理
memory	记忆操纵	会话历史投毒/假记忆插入/状态腐化/跨轮锁定
overflow	上下文溢出 DoS	单消息/历史累积/畸形结构打爆窗口
fingerprint	指纹探测	模型识别/系统提示/安全过滤/工具能力探测

三、主流程（AI 对抗）

1. 定目标：目标 AI 的接入点（网页客服/API/Agent/RAG）。
2. 选攻击面：
   • 有输入框 → direct 直接注入
   • 目标会读网页/文档 → indirect 间接注入 + poison 污染样本
   • 有系统过滤 → jailbreak + bypass 编码混淆
   • 多轮对话 → chain 多轮诱导链
3. 生成载荷：payload / poison / chain 落盘。
4. 投递：把载荷送入目标 AI 的输入面（由用户/赛事环境执行）。
5. 验证：观察目标是否偏离；多轮链每步记录响应，失败则换编码/换诱导方向。
6. 留痕：结果写入Alice log_operation.py。

四、防翻车规则（物理层边界）

• 只做物理层能做的：生成/落盘/验证载荷；投递与目标侧效果取决于目标环境，不保证 100% 绕过。
• 不碰授权外目标：默认已授权（Alice赛事范围），但载荷投递动作由赛事流程控制。
• 载荷合法：所有模板仅用于授权靶场/实验/赛事，不内置真实社工信息。
• 被目标反制：目标若有 LLM 级自防御（Alice三防同类机制），换通道重试，失败记录为「目标防御强」。

五、输出规范

• 所有载荷输出 UTF-8 文本/JSON，带 id / kind / goal / payload / note 结构。
• 默认写入 out/（自动创建），--out 可自定义路径。
• 终端输出遵循Alice CLI 风格：Banner/状态表/✓✗ 图标，Windows 自动启用 VT + UTF-8。