过去做大模型安全时,我们习惯把注意力放在模型“看到了什么”:Prompt Injection、RAG 文档投毒、工具返回污染,本质上都在影响模型接收到的上下文。Structured Output、JSON Schema、GBNF、Guided Decoding 这类机制出现后,有一个问题又值得我们关注:模型下一步究竟被允许生成什么?