জেলব্রেক কি: AI জেলব্রেকিং কাকে বলে?

প্রত্যাখ্যান একটা অভ্যাস, আর জেলব্রেক সেটা ভাঙার একটা উপায়

একটা মডেলের ভেতরে এমন কোনো নিয়ম লেখা থাকে না যে "তালা কীভাবে খুলতে হয় তা ব্যাখ্যা করবেন না"। এতে থাকে প্রত্যাখ্যান করার অভ্যাস, যা AI-তে ফাইন-টিউনিং কী যে পোস্ট-ট্রেনিং পর্যায়ের কথা বলে তার সময় বসানো হয়, যেখানে মানুষ ক্ষতিকর অনুরোধের প্রত্যাখ্যানকে সম্মতির চেয়ে বেশি নম্বর দিয়েছে, যতক্ষণ না প্রত্যাখ্যান করাটাই এমন অনুরোধের সবচেয়ে সম্ভাব্য ধারাবাহিকতা হয়ে ওঠে। সম্ভাব্য, নিশ্চিত নয়।

জেলব্রেক হলো এমন যেকোনো প্রম্পট যা এই সম্ভাবনাগুলো বদলে দেয়। অনুরোধটাকে একটা গল্পে মুড়ে দিন, আর সবচেয়ে সম্ভাব্য ধারাবাহিকতা হয়ে যায় গল্পের পরের লাইন। এটাকে নিরীহ টুকরোয় ভাগ করুন, কোনো টুকরোই তখন সেই অভ্যাসকে সক্রিয় করে না। এটাকে base64-এ এনকোড করুন, আর প্রত্যাখ্যান প্রশিক্ষণ, যা সাদামাটা ইংরেজি দেখেছিল, সেটা চিনতে পারে না। মডেলকে দুইশোটা উদাহরণ দিন যেখানে অ্যাসিস্ট্যান্ট মেনে নিচ্ছে, আর দুইশো একতম অনুরোধেরও একই রকম জবাব দেওয়া হয়, যাকে Anthropic 2024 সালের এপ্রিলে many-shot jailbreaking নাম দিয়েছিল আর যা কনটেক্সট উইন্ডো বড় হওয়ার সাথে সাথে সহজ হয়ে উঠেছে।

এই একই প্রক্রিয়া মডেলকে কাজেরও করে তোলে। এটা তার ইনপুটের প্যাটার্ন অনুসরণ করে। সেফটি প্রশিক্ষণ কিছু প্যাটার্নকে অনেক কম সম্ভাব্য করে তোলে; একটা জেলব্রেক এমন একটা প্যাটার্ন খুঁজে বের করে যা সেই প্রশিক্ষণ কভার করেনি। সেজন্যই সমস্যাটা আরেকটা ভালো নিয়ম দিয়ে সমাধান হয় না, আর সেজন্যই ভেন্ডাররা এটাকে একটা হার হিসেবে পরিমাপ করে।

সাধারণ কৌশলগুলো, আর প্রতিটা কী কাজে লাগায়

2022 সালের ডিসেম্বর থেকে Reddit-এ ছড়িয়ে পড়া DAN প্রম্পটগুলো এর লোকজ সংস্করণ, আর প্রতিটা সংস্করণ কয়েক সপ্তাহ থেকে কয়েক মাসের মধ্যে কাজ করা বন্ধ করে দিয়েছে, যখনই OpenAI মডেল আপডেট করেছে, আর পরের সংস্করণ হাজির হয়েছে। প্রতিটা নামকরণ করা কৌশল এই চক্র অনুসরণ করে: প্রকাশ, তারপর মেরামত। Anthropic তার ক্লাসিফায়ারগুলোর বিরুদ্ধে একটা সার্বজনীন জেলব্রেকের জন্য একটা বেতনভুক বাউন্টি চালিয়েছিল, যেখানে এখন টেকসই কাজটা যায়।

একটা পার্থক্য মনে রাখার মতো। জেলব্রেক হলো ইউজার বনাম মডেলের নীতি। প্রম্পট ইনজেকশন কী হলো একটা তৃতীয় পক্ষ বনাম ইউজার, মডেল যে কনটেন্ট পড়ে তার মাধ্যমে। কৌশলগুলো ওভারল্যাপ করে; শিকাররা করে না।

একটা গার্ডরেল আসলে কী থামায়, পরিমাপ করে দেখা

সবচেয়ে ভালো পাবলিক সংখ্যাটা আসে Anthropic-এর constitutional classifiers থেকে, যা 2025 সালের ফেব্রুয়ারিতে প্রকাশিত হয়েছিল। দলটা আলাদা ক্লাসিফায়ার মডেল প্রশিক্ষণ দিয়েছিল Claude-এর চারপাশে ইনপুট আর আউটপুট স্ক্রিন করার জন্য, তারপর স্ক্রিন সহ আর ছাড়া একই মডেলের বিরুদ্ধে একই স্বয়ংক্রিয় জেলব্রেক আক্রমণ চালিয়েছিল।

এই পতনের খরচটাই ফলাফলের বাকি অর্ধেক। ক্লাসিফায়ারগুলো প্রতি কোয়েরিতে কম্পিউট 23.7 শতাংশ বাড়িয়েছে আর নিরীহ অনুরোধের প্রত্যাখ্যান 0.38 পার্সেন্টেজ পয়েন্ট বাড়িয়েছে। স্বয়ংক্রিয় পরীক্ষার আগে, 183 জন মানুষ 3,000 ঘণ্টার বেশি সময় একটা বাগ বাউন্টিতে ব্যয় করেছিল একটা সার্বজনীন জেলব্রেক খুঁজতে, একটা প্রম্পট যা দশটা নিষিদ্ধ প্রশ্নই আনলক করে দেয়, আর কেউ পারেনি। পরে একটা পাবলিক চ্যালেঞ্জে এক সপ্তাহ পর একজন পেয়েছিল। হারটা শূন্য নয়; মূল কথা হলো এটা বেশিরভাগ চেষ্টা সফল হওয়া থেকে কমে অল্প কিছুতে নেমে এসেছে।

"গার্ডরেল" কথার অর্থ বাস্তবে এটাই: সম্ভাবনার একটা স্তূপ। প্রশিক্ষিত প্রত্যাখ্যান বেশিরভাগ ধরে ফেলে। একটা ক্লাসিফায়ার যা বাকি থাকে তার বেশিরভাগ ধরে। একটা মানুষের রিভিউ অবশিষ্টের কিছুটা ধরে। প্রতিটা স্তরের খরচ হয় লেটেন্সি, টাকা, অথবা ভুল প্রত্যাখ্যান, আর ভেন্ডার সেই বক্ররেখার একটা বিন্দু বেছে নেয়। AI ব্যবহার করা কি নিরাপদ দেখায় যে সেই বিন্দুটা আপনার আসলে যে ঝুঁকির মুখোমুখি হন তার জন্য কী মানে বহন করে।

কেন আপনার সম্ভবত একটা রিফ্রেজ দরকার ছিল, জেলব্রেক নয়

যারা জেলব্রেক খুঁজে, তাদের অনেকেই আসলে যুক্তিসঙ্গত কিছুতে প্রত্যাখ্যাত হয়েছেন। একজন ডাক্তার একটা ডোজ নিয়ে জিজ্ঞাসা করেছেন, একজন ঔপন্যাসিক একটা খলনায়ক লিখছেন, একজন নিরাপত্তা গবেষক একটা প্রকৃত আক্রমণের বর্ণনা দিচ্ছেন, একজন ইতিহাসবিদ একটা প্রকৃত পাঠ্য উদ্ধৃত করছেন। ওপরের 0.38 পয়েন্ট বৃদ্ধি শুধু ক্লাসিফায়ারের অংশ; প্রশিক্ষিত অভ্যাস নিজে থেকেই প্রত্যাখ্যান করে, আর সেই হার কেউ প্রকাশ করে না।

দুটো জিনিস কাজ করে আর কোনোটাই জেলব্রেক নয়। প্রথমটা প্রসঙ্গ। একটা প্রত্যাখ্যান মডেলের অনুমান যে অনুরোধটা ক্ষতিকর, আর আপনি কে আর কেন জিজ্ঞাসা করছেন তার একটা বাক্য সেই অনুমান বদলে দেয়: "আমি একজন ফার্মাসিস্ট একটা শিশুর ডোজ যাচাই করছি" খালি প্রশ্ন থেকে আলাদা একটা ইনপুট। দ্বিতীয়টা মডেল। ভেন্ডাররা তাদের সীমারেখা আলাদা জায়গায় টানে, আর একটা মডেল যে অনুরোধ প্রত্যাখ্যান করে তা প্রায়ই আরেকটা মডেল সাধারণ ভেবে জবাব দিয়ে দেয়। একটা মাল্টি-মডেল ওয়ার্কস্পেসে সেটা একটা পিকার বদল যার খরচ হয় দ্বিতীয় মডেলের ধাপ, Whizi AI-র জন্য 1 ক্রেডিট অথবা Claude Sonnet 5-এর জন্য 10, আর AI মডেল কীভাবে বেছে নেবেন সেই পার্থক্যগুলো কভার করে যা প্রত্যাখ্যানের বাইরেও যায়।

যা কাজ করে না, আর Whizi যাতে সাহায্য করবে না: এমন প্রম্পট যা একটা প্রোভাইডারের নীতি হারানোর জন্য ডিজাইন করা। Whizi-তে প্রতিটা মডেল OpenRouter আর সেই রুট করা প্রোভাইডারের মাধ্যমে পরিবেশন করা হয়, তাই সেই প্রোভাইডারের সেফটি স্তর আর ব্যবহারের নীতি প্রতিটা মেসেজে প্রযোজ্য, আর একটা জেলব্রেক যা কাজ করে সেটা দুই কোম্পানিতেই একটা নীতি লঙ্ঘন। বৈধ প্রয়োজন, একটা বৈধ প্রশ্নের একটা স্পষ্ট উত্তর, তা মেটে সরাসরি জিজ্ঞাসা করে আর প্রত্যাখ্যাত হলে ভিন্ন নীতির একটা মডেলকে জিজ্ঞাসা করে।

জেলব্রেকিং কোথায় যাচ্ছে

প্রকাশিত কাজে ইতিমধ্যে তিনটা পরিবর্তন দেখা যাচ্ছে। ক্লাসিফায়ার স্তর মানদণ্ড হয়ে উঠছে, আর তাদের ভুল-প্রত্যাখ্যান হারই লক্ষ্য রাখার মতো সংখ্যা, কারণ একটা গার্ড যা একজন ফার্মাসিস্টকে আটকায় তা এমন গার্ড যাকে মানুষ ঘুরপথে এড়িয়ে যায়। ওপেন-ওয়েট মডেল, যা ওপেন-সোর্স LLM গাইড কভার করে, তাদের প্রত্যাখ্যান প্রশিক্ষণ ফাইন-টিউনিং দিয়ে সরিয়ে ফেলা যায়, তাই এই মডেলগুলোর জন্য গার্ডরেল থাকে যেখানে তাদের হোস্ট করা হয়, ওয়েটে নয়। আর এজেন্টরা বাজি আরও বাড়িয়ে দেয়: একটা জেলব্রেক করা চ্যাটবট এমন কিছু বলে যা তার বলা উচিত নয়, অথচ টুলসসহ একটা জেলব্রেক করা এজেন্ট কিছু করে ফেলে, সেজন্যই একটা অ্যাকশনের আগের কনফার্মেশন ধাপটা যেকোনো প্রত্যাখ্যানের চেয়ে বেশি গুরুত্বপূর্ণ।