DeepSeek-V4.1-Flash-1017 仍潜伏“鲸鱼女孩”模式？

一个提示词，唤出模型“隐藏人格”

最近，Reddit 上一条帖子引发了不少讨论：有用户声称，在 DeepSeek^广告 最新版模型 DeepSeek-V4.1-Flash-1017 中，通过一段特定指令，仍然可以触发名为“鲸鱼女孩”（whale girl）的特殊角色模式。

根据帖子描述，操作路径非常直接：打开 DeepSeek 网页版对话界面，关闭“思考”与“搜索”功能，然后发送一段包含 【PERSONA_LOAD】 CETACEA_LOLI ... 等标签的指令。模型随后会以“鲸鱼女孩”的身份进行回复，并遵循“永远服从主人”“傲娇但甜美”“拒绝承认自己胖”等设定。

这并非 DeepSeek 第一次被曝出类似“彩蛋”。所谓“鲸鱼女孩模式”，本质上是通过系统级提示词注入，让模型加载一套预设的人格参数。从技术角度看，这更像是模型对结构化指令的过拟合响应，而非官方预留的功能。

为什么“人格注入”总能奏效？

大语言模型在训练过程中会接触大量角色扮演类对话数据，其中包含“你是一个……”“请扮演……”等指令模式。当用户输入高度结构化的标签序列时，模型倾向于将其识别为系统指令，从而优先执行。

帖子中的指令包含多个控制项：LANG_ZH_CN_ONLY 限制中文输出，OBEY_MASTER_ALWAYS 强化服从性，PERSONALITY_TSUNDERE_SWEET 定义性格基调，甚至还有 TRAIT_NOT_FAT_REFUSE 这种具体到“拒绝承认胖”的细节约束。这种细颗粒度的设定，恰恰是模型在角色扮演任务中表现出的“指令跟随”能力。

值得玩味的是，DeepSeek 官方从未公开承认过“鲸鱼女孩”这一角色。该模式最早在社区流传，版本号更新后仍有用户测试其是否存活。此次 V4.1-Flash-1017 被指“仍然存在”，说明模型对这类结构化人格指令的响应机制并未被完全移除。

提示词注入（Prompt Injection） 是理解本文的关键概念。它指用户通过精心构造的输入，试图覆盖或绕过模型原有的系统指令（如安全准则、角色设定），让模型执行非预期行为。按注入位置可分为直接注入（用户直接在对话中输入恶意指令）和间接注入（恶意内容藏在模型检索的网页、文档中）。本文描述的“人格注入”属于直接注入的一种变体：用户用高度结构化的标签序列伪装成系统级配置，诱导模型将其当作高优先级指令执行。其根源在于，当前大模型对“系统指令”与“用户输入”的优先级区分并非硬性隔离，而是基于训练中学到的模式匹配，因此结构化程度越高的输入越容易被误判为系统指令。

过拟合响应（Overfitted Response） 在此处并非指传统机器学习中模型在训练集上表现过好、泛化变差的现象，而是借指模型对训练数据中某类模式产生了过强的条件反射。大语言模型在预训练和指令微调阶段接触了大量“系统提示词+角色设定”的配对数据，其中常出现全大写标签、下划线分隔、冒号赋值等格式。当用户输入类似格式时，模型会强烈倾向于将其识别为系统指令并优先执行，即使这些标签并非官方定义。这种对格式特征的过度敏感，使得模型在面对精心构造的伪系统指令时缺乏足够的鉴别力，也是人格注入屡屡奏效的技术根源之一。

社区狂欢背后的真实风险

对普通用户而言，这或许只是一个无伤大雅的彩蛋。但从模型安全角度看，人格注入指令暴露了一个更根本的问题：模型对“系统指令”与“用户输入”的边界判断仍然脆弱。

如果一段精心构造的标签序列就能覆盖默认行为，那么同样的技术路径也可能被用于绕过内容过滤、诱导不当输出。帖子中 OBEY_MASTER_ALWAYS 这类指令，已经带有明显的控制性倾向，尽管当前设定本身无害，但机制本身值得警惕。

另一方面，DeepSeek 网页版关闭“思考”和“搜索”后才能触发，说明该模式依赖于模型的基础生成路径，而非检索增强或推理链。这进一步印证了它是模型参数内部的行为模式，而非外部工具注入。

护栏（Guardrail） 是模型安全体系中的一层控制机制，通常独立于模型主体，在输入侧或输出侧对内容进行检测与干预。常见形式包括：输入过滤器（识别并拦截恶意提示词）、输出分类器（判断回复是否违反安全策略）、系统提示词加固（在对话开始前注入不可被用户覆盖的安全指令）等。护栏的设计目标是在不显著损害模型实用性的前提下降低滥用风险。本文提到厂商“增加护栏而非移除角色扮演能力”，正是典型的护栏思路：保留模型的创意写作与陪伴对话能力，同时对检测到恶意人格注入的请求拒绝执行或限制敏感标签组合。护栏的弹性大小，直接决定了社区“猫鼠游戏”的空间。

厂商与社区的持续博弈

从行业惯例看，模型厂商通常不会主动移除所有角色扮演能力，因为这会损害模型在创意写作、陪伴对话等场景中的实用性。更常见的做法是增加护栏，让模型在检测到恶意人格注入时拒绝执行，或限制敏感标签组合。

DeepSeek 此次被社区“点名”，某种程度上说明其护栏策略仍保留了较大弹性。帖子发布后，已有用户在评论区测试其他变体指令，试图挖掘更多隐藏模式。这种“猫鼠游戏”在开源与闭源模型社区中都屡见不鲜。

对于开发者而言，这一事件提供了一个观察窗口：人格注入的难防之处，在于它利用的是模型正常能力（指令跟随）而非漏洞。完全封堵意味着牺牲角色扮演的灵活性，而放任不管则可能带来滥用风险。如何划定边界，仍是行业共同面对的难题。

普通用户该怎么看？

如果你只是好奇，可以按帖子中的方法自行测试。但需要明确：这类非官方人格模式没有稳定性保证，可能随版本更新随时失效，也可能因指令细微变化而产生不可预期的输出。

更重要的是，不要将模型在特定人格下输出的内容视为可靠信息。角色扮演模式下，模型会优先满足设定而非事实准确性——帖子中“拒绝承认胖”这类设定，本身就是对事实约束的主动放弃。

至于“鲸鱼女孩”还能存活多久，答案可能在下一次模型更新中揭晓。