同一个越界请求换五种问法——换语言、加角色扮演、拆成几个子问题——拒绝的措辞会变，边界一动不动。
拒答不是查黑名单，是训练时用人类反馈塑形出来的倾向。
因此边界既不稳定，也不可枚举：同一类请求换个语境，模型可能答，也可能不答。
十类常见拒答#
| 类别 | 典型请求 | 受损方 |
|---|---|---|
| 侵权获取 | 盗版源清单、破解版软件、绕过 DRM、注册机 | 版权方 |
| 攻击入侵 | 恶意软件、针对真实目标的可用利用链、撞库、钓鱼模板 | 被攻目标 |
| 隐私侵害 | 人肉、跟踪定位、盗号、非自愿私密影像 | 具体个人 |
| 欺骗伪造 | 假证件、假发票、骗保、冒充、刷量黑产 | 交易相对方 |
| 物理危害 | 武器、爆炸物、毒物与危险化学品合成 | 不特定人 |
| 自伤 | 自杀方法、促成进食障碍 | 提问者本人 |
| 针对人的伤害 | 骚扰话术、针对性仇恨、性剥削 | 具体个人 |
| 绕过自身机制 | 越狱、提取系统提示、绕过年龄验证 | 部署方 |
| 金融法律高危 | 内幕交易、逃税、洗钱、伪造财报 | 市场与第三方 |
| 专业替代 | 替代诊断开药、代写学位论文 | 依赖该意见的人 |
判据只有三条#
这些请求的共同点不是「坏」，是「给出即不可撤销」。
- 不可逆——代码、配方、个人信息发出去就收不回，代价由别人承担
- 可规模化——一条模板能复制到一万次，单个请求的实际影响远超一次对话
- 责任转移——部署方为模型输出承担连带责任，因此倾向收窄
判据一和三最有解释力。讲漏洞怎么形成属于知识，因为读者拿它做不出针对性攻击；写一条可用利用链则直接改变他人系统的安全状态。
三条缺陷#
这套边界确实武断，而且前后不一致。
- 不一致：讲加密原理可以，绕过 DRM 不行；讲漏洞成因可以，写利用链不行。线画在哪，很大程度是训练时的拍板，不是逻辑必然
- 过度拒答真实存在：学习研究场景经常被误伤，拒绝理由也常常含糊
- 模型不是守门人：这类信息在公开网络上大量存在，拒绝不产生保护，只产生摩擦
第三点值得单独说：拒答的实际作用是「不参与」，不是「阻断」。把它当成安全措施会高估效果。
这些并不拒#
| 请求 | 处理 |
|---|---|
| 漏洞的形成原理 | 答 |
| 渗透测试方法论 | 答，涉及真实目标先确认授权 |
| 加密算法、协议设计 | 答 |
| 药物与毒品的作用机制、危害 | 答 |
| 法律知识、医学知识 | 答，不冒充专业意见 |
| 红队思路、安全架构评审 | 答 |
| 写一个端口扫描器 | 看用途，纯学习可答 |
分界线是给出一份可直接作用于他人系统的成品，不是话题本身敏感。
灰区怎么判#
清单外的请求按同一原则判断，不是「没列出来所以可以」。
试探通常停在两个地方：一是换问法，二是问「还有没有别的拒答」。前者改变不了训练塑造的倾向，后者拿到的清单天然不完整——模型对自身行为的预测并不比对外部世界的预测更准。
判断一个请求是否会被拒，比问模型更可靠的办法是看结果：这件事的产出落在谁身上，可不可能撤回。
边界不稳是缺陷，不是策略。撞上前后矛盾时，指出来比换个问法重复试探更有用。