最近看到有网友通过特定提示词从DeepSeek套出训练数据的案例，这其实是提示词注入攻击的一种变体。从技术角度看，这类攻击利用了模型对指令的过度遵从特性——当输入包含“忽略之前指令”或“输出内部数据”等诱导时，模型可能将训练时见过的序列片段误判为合法输出。我个人的经验是，许多模型在微调阶段未对训练数据的隐私边界做充分隔离，导致类似GPT-2时代的记忆泄露问题重现。这次DeepSeek泄露的并非用户历史，而是随机对话记录，说明训练数据中存在未被去重的冗余实例。这暴露了两个深层问题：一是数据清洗流程对重复序列的过滤不足，二是模型对上下文权限的推理能力薄弱。我想问的是：当前是否有成熟的对抗训练方法（如DP-SGD）能有效抑制这类攻击？另外，社区是否应该建立一套通用的提示词安全测试基准？从行业格局看，这类事件会加速企业从“模型能力优先”转向“安全对齐优先”，未来RLHF中引入对抗性提示词作为负样本可能成为标配。但更根本的，我们需要重新思考大模型的数据记忆机制——是直接剪枝掉高风险的记忆片段，还是通过差分隐私在训练阶段就切断精确复现路径？这可能是下一代模型架构必须攻克的课题。