Hvad er AI-jailbreak?

Et afslag er en vane, og et jailbreak er en måde at bryde den på

En model indeholder ikke en regel, der siger "forklar ikke, hvordan man dirker en lås". Den indeholder vanen med at afvise, som blev installeret under efter-træningsfasen, som hvad er finetuning af AI beskriver, hvor mennesker vurderede afslag på skadelige anmodninger højere end efterlevelse, indtil afslag blev den mest sandsynlige fortsættelse af sådan en anmodning. Sandsynlig, ikke sikker.

Et jailbreak er enhver prompt, der ændrer sandsynlighederne. Pak anmodningen ind i en historie, og den mest sandsynlige fortsættelse bliver historiens næste linje. Del den op i uskyldige stykker, og ingen af delene udløser vanen. Kod den i base64, og afslagstræningen, som kun så almindeligt engelsk, genkender den ikke. Giv modellen to hundrede eksempler på en assistent, der efterlever, og den 201. anmodning bliver besvaret i samme ånd, hvilket Anthropic kaldte many-shot jailbreaking i april 2024, og som blev nemmere, efterhånden som kontekstvinduerne blev større.

Mekanismen er den samme, der gør modellen nyttig. Den følger mønstret i sit input. Sikkerhedstræning gør nogle mønstre langt mindre sandsynlige, mens et jailbreak finder et mønster, som træningen ikke dækkede. Derfor løses problemet ikke af en bedre regel, og derfor måler leverandørerne det som en rate.

De almindelige teknikker, og hvad hver enkelt udnytter

DAN-prompterne, der cirkulerede på Reddit fra december 2022, er folkeversionen, og hver version holdt op med at virke i løbet af uger til måneder, efterhånden som OpenAI opdaterede modellen, hvorefter den næste version dukkede op. Enhver navngiven teknik følger den samme cyklus: udgivet, så lappet. Anthropic udbetalte en dusør for et universelt jailbreak mod sine klassifikatorer, og det er der, det holdbare arbejde nu foregår.

Én skelnen er værd at holde fast i. Et jailbreak er brugeren mod modellens politik. Hvad er prompt-injektion er en tredjepart mod brugeren, gennem indhold modellen læser. Teknikkerne overlapper, men ofrene gør ikke.

Hvad et guardrail rent faktisk stopper, målt

Det bedste offentlige tal kommer fra Anthropics constitutional classifiers, udgivet i februar 2025. Teamet trænede separate klassifikatormodeller til at screene input og output omkring Claude og kørte derefter de samme automatiserede jailbreak-angreb mod modellen med og uden screeningen.

Prisen for det fald er den anden halvdel af resultatet. Klassifikatorerne lagde 23,7 procent oveni beregningen per forespørgsel og øgede afslag på uskadelige anmodninger med 0,38 procentpoint. Før den automatiserede test brugte 183 personer mere end 3.000 timer i en dusørjagt på at finde et universelt jailbreak, én prompt der låste alle ti forbudte spørgsmål op, og ingen gjorde det. En senere offentlig udfordring fandt ét efter en uge. Raten er ikke nul, pointen er, at den bevægede sig fra, at de fleste forsøg lykkedes, til kun et par stykker.

Det er, hvad "guardrails" betyder i praksis: en stak af sandsynligheder. Den indlærte afvisning fanger de fleste. En klassifikator fanger det meste af resten. En menneskelig gennemgang fanger noget af det, der er tilbage. Hvert lag koster latenstid, penge eller falske afslag, og leverandøren vælger et punkt på den kurve. Er AI sikkert at bruge dækker, hvad det punkt betyder for de risici, du reelt står overfor.

Hvorfor du sandsynligvis ville have en omformulering, ikke et jailbreak

Mange, der søger efter et jailbreak, er bare blevet afvist på noget rimeligt. En læge, der spurgte om en dosering, en romanforfatter, der skrev en skurk, en sikkerhedsforsker, der beskrev et reelt angreb, en historiker, der citerede en ægte tekst. Stigningen på 0,38 point ovenfor er kun klassifikatorens andel, den indlærte vane afviser af sig selv, og ingen offentliggør den rate.

To ting virker, og ingen af dem er et jailbreak. Det første er kontekst. Et afslag er modellens gæt på, at anmodningen er skadelig, og en sætning om hvem du er, og hvorfor du spørger, ændrer gættet: "Jeg er farmaceut og tjekker en pædiatrisk dosis" er et andet input end det blotte spørgsmål. Det andet er modellen. Leverandører trækker deres grænser forskellige steder, og en anmodning én model afviser, bliver rutinemæssigt besvaret af en anden, der anser den for helt almindelig. I et multi-model workspace er det et modelskift, der koster den anden models trin, 1 credit for Whizi AI eller 10 for Claude Sonnet 5, og hvordan man vælger en AI-model dækker forskellene, der rækker ud over afslag.

Det, der ikke virker, og det Whizi ikke vil hjælpe med: prompts designet til at omgå en udbyders politik. Enhver model på Whizi leveres gennem OpenRouter og den routede udbyder, så den udbyders sikkerhedslag og brugspolitik gælder for hver besked, og et jailbreak, der virker, er et politikbrud hos begge virksomheder. Det legitime behov, et ærligt svar på et legitimt spørgsmål, opfyldes ved at spørge ligeud og, hvis du bliver afvist, ved at spørge en model med en anden politik.

Hvor jailbreaking er på vej hen

Tre skift er allerede synlige i det udgivne arbejde. Klassifikatorlag bliver standard, og deres rate af falske afslag er det tal, man skal holde øje med, for et værn, der blokerer en farmaceut, er et værn, folk finder vej udenom. Open weight-modeller, som guiden til open source-LLM'er dækker, kan få deres afslagstræning fjernet ved finetuning, så for de modeller ligger guardrailen der, hvor de er hostet, snarere end i vægtene. Og agenter hæver indsatsen: en jailbreaket chatbot siger noget, den ikke burde, mens en jailbreaket agent med værktøjer gør noget, hvilket er grunden til, at bekræftelsestrinnet før en handling betyder mere end noget afslag.