反爬脚本中埋入触发 LLM 安全机制的蜜罐字符串

nullpt.rs逆向发现反爬脚本埋敏感蜜罐串，诱AI爬虫触发LLM安全拒答自曝身份，HN621分

nullpt.rs 博客于 2026-10-28 发布逆向分析（同日在 Hacker News 获 621 分），作者在一份用于浏览器指纹识别的混淆脚本中，发现了被刻意埋入的陷阱字符串：内容涉及敏感话题（标题所称的“生物武器”即由此而来），设计意图是当 AI 爬虫把页面源码读入模型上下文时触发 LLM 的安全拒答机制，从而暴露爬虫身份，供站点识别或阻断。按文章的描述，这类字符串对人类读者没有实际作用，只对进行语义理解的模型生效。需要说明的是，这是第三方博客的逆向发现而非任何厂商的官方公告，且其实际拦截效果在社区评价并不一致。

hackernews · hazebooth · 10月28日 17:13 · 社区讨论

「为何是现在」 这条分析在 10 月 28 日发布当天即引发 HN 高热讨论，说明反爬手法正在从 Anubis 那类证明计算工作量的思路，转向把 LLM 安全机制本身当作检测信号，网页代码的形态正在被这场对抗重塑。不过这一效果尚未经独立验证，社区中已出现“可被绕过”的直接反驳，宜当作新现象观察而非定论。

「可做角度」 可做角度：讲清“网页代码里藏着会让 AI 拒答的字符串”这件事——以 nullpt.rs 的逆向过程为主线，解释蜜罐字符串如何把模型安全机制变成爬虫检测器，再对照材料中的两个张力点：水印字符串误伤客户邮件的真实案例，以及“agent 读 AST 即可绕过”的质疑，呈现反爬对抗如何改变网页本身、又可能误伤谁。

「社区讨论」 评论分歧明显：jacquesm 分享了真实误伤案例——他们给未公开文档加的水印字符串被客户方 Outlook 安全机制判定为隔离原因，文件遭无限期搁置；而 arbol 认为这类防御无效，称 agent 会读 AST 并忽略死代码直接绕过。另有评论惊叹混淆器正被当作蜜罐来甄别爬虫，并注意到连 HN 用户简介里也出现了此类反 LLM 字符串。

查看原文 ↗