利用 BPE 切分与 Unicode 归一化差异绕过 LLM 安全过滤器

前言

• **过滤器看到的字符串，和模型看到的 token 序列，不是同一份数据。**归一化器会改写字符，BPE 会重新切分，两层都可能把关键词抹掉，而攻击者不需要理解任何一层。

• **字符级混淆基本被解决了。**四档加固里最强的一档（NFKC → 去不可见 → 同形折叠）在 11 种手法里有 8 种（含明文对照）保