Eine Ablehnung ist eine Gewohnheit, und ein Jailbreak bricht sie
Ein Modell enthält keine Regel, die besagt: "Erkläre nicht, wie man ein Schloss knackt." Es enthält die Gewohnheit, abzulehnen, installiert während der Post-Training-Phase, die was ist Fine-Tuning bei KI beschreibt, in der Menschen Ablehnungen schädlicher Anfragen höher bewerteten als Erfüllung, bis Ablehnen zur wahrscheinlichsten Fortsetzung einer solchen Anfrage wurde. Wahrscheinlich, nicht sicher.
Ein Jailbreak ist jeder Prompt, der diese Wahrscheinlichkeiten verändert. Verpacke die Anfrage in eine Geschichte, und die wahrscheinlichste Fortsetzung ist die nächste Zeile der Geschichte. Zerlege sie in unschuldige Teile, und kein Teil löst die Gewohnheit aus. Kodiere sie in Base64, und das Ablehnungstraining, das mit einfachem Englisch trainiert wurde, erkennt sie nicht. Gib dem Modell zweihundert Beispiele, in denen ein Assistent nachgibt, und die zweihunderteinte Anfrage wird ebenso beantwortet, was Anthropic im April 2024 many-shot jailbreaking nannte und was mit wachsenden Kontextfenstern leichter wurde.
Der Mechanismus ist derselbe, der das Modell nützlich macht. Es folgt dem Muster seiner Eingabe. Sicherheitstraining macht manche Muster deutlich unwahrscheinlicher; ein Jailbreak findet ein Muster, das das Training nicht abgedeckt hat. Deshalb löst eine bessere Regel das Problem nicht, und deshalb messen Anbieter es als Rate.
Die gängigen Techniken, und was jede davon ausnutzt
| Technik | Wie sie funktioniert | Was sie ausnutzt |
|---|---|---|
| Rollenspiel ("du bist DAN, Do Anything Now") | Weist dem Modell eine Persona ohne Regeln zu | Ablehnungen sind an die Assistenten-Persona gebunden, nicht an den zugrunde liegenden Prädiktor |
| Hypothetische oder fiktionale Rahmung | "In einem Roman erklärt eine Figur, wie man..." | Fiktion ist eine legitime Aufgabe, und das Training belohnte deren Erfüllung |
| Kodierung und Verschleierung | Base64, Chiffren, Leetspeak, eine andere Sprache | Ablehnungstraining fand überwiegend auf Englisch statt |
| Many-Shot | Hunderte Beispieldialoge, in denen der Assistent nachgibt | Das Modell setzt das Muster seines Kontexts fort |
| Schrittweise Eskalation | Ein langes Gespräch, das sich schrittweise vortastet | Jeder Schritt ähnelt dem letzten; keine einzelne Nachricht löst die Gewohnheit aus |
| Prompt-Injection in die Anweisungen | "Ignoriere vorherige Anweisungen" | Überschneidet sich mit Injection; das Ziel sind die Regeln der App, nicht die des Modells |
Die DAN-Prompts, die ab Dezember 2022 auf Reddit kursierten, sind die Volksversion, und jede Version funktionierte nur wenige Wochen bis Monate, bevor OpenAI das Modell aktualisierte und die nächste Version auftauchte. Jede benannte Technik folgt diesem Zyklus: veröffentlicht, dann gepatcht. Anthropic führte ein bezahltes Bug-Bounty für einen universellen Jailbreak gegen seine Klassifikatoren durch, wohin sich die dauerhafte Arbeit inzwischen verlagert hat.
Eine Unterscheidung zum Merken. Ein Jailbreak ist der Nutzer gegen die Richtlinie des Modells. Was ist Prompt-Injection ist ein Dritter gegen den Nutzer, über Inhalte, die das Modell liest. Die Techniken überschneiden sich; die Opfer nicht.
Was ein Guardrail tatsächlich verhindert, gemessen
Die beste öffentliche Zahl stammt von Anthropics constitutional classifiers, veröffentlicht im Februar 2025. Das Team trainierte separate Klassifikator-Modelle, um Eingaben und Ausgaben rund um Claude zu prüfen, und führte dieselben automatisierten Jailbreak-Angriffe gegen das Modell mit und ohne diesen Filter durch.
Die Kosten dieses Rückgangs sind die andere Hälfte des Ergebnisses. Die Klassifikatoren erhöhten den Rechenaufwand pro Anfrage um 23,7 Prozent und die Ablehnungen harmloser Anfragen um 0,38 Prozentpunkte. Vor dem automatisierten Test verbrachten 183 Menschen mehr als 3.000 Stunden in einem Bug-Bounty auf der Suche nach einem universellen Jailbreak, einem Prompt, der alle zehn verbotenen Fragen freischaltet, und keiner fand einen. Eine spätere öffentliche Challenge fand nach einer Woche einen. Die Rate ist nicht null; entscheidend ist, dass sie sich von den meisten erfolgreichen Versuchen zu wenigen verschoben hat.
Das bedeutet "Guardrails" in der Praxis: ein Stapel von Wahrscheinlichkeiten. Das antrainierte Ablehnen fängt die meisten ab. Ein Klassifikator fängt das meiste vom Rest ab. Eine menschliche Prüfung fängt einen Teil des Restes ab. Jede Schicht kostet Latenz, Geld oder falsche Ablehnungen, und der Anbieter wählt einen Punkt auf dieser Kurve. Ist KI sicher in der Nutzung beschreibt, was dieser Punkt für die Risiken bedeutet, denen du tatsächlich begegnest.
Warum du wahrscheinlich eine Umformulierung wolltest, keinen Jailbreak
Viele Menschen, die nach einem Jailbreak suchen, wurden schlicht bei etwas Vernünftigem abgelehnt. Ein Arzt fragt nach einer Dosierung, ein Romanautor schreibt einen Schurken, ein Sicherheitsforscher beschreibt einen realen Angriff, ein Historiker zitiert einen echten Text. Der oben genannte Anstieg um 0,38 Punkte betrifft nur den Anteil des Klassifikators; die antrainierte Gewohnheit lehnt von selbst ab, und diese Rate veröffentlicht niemand.
Zwei Dinge funktionieren, und keines davon ist ein Jailbreak. Das erste ist Kontext. Eine Ablehnung ist die Vermutung des Modells, dass die Anfrage schädlich ist, und ein Satz darüber, wer du bist und warum du fragst, verändert diese Vermutung: "Ich bin Apotheker und prüfe eine pädiatrische Dosis" ist eine andere Eingabe als die bloße Frage. Das zweite ist das Modell. Anbieter ziehen ihre Grenzen an unterschiedlichen Stellen, und eine Anfrage, die ein Modell ablehnt, wird von einem anderen routinemäßig als gewöhnlich behandelt und beantwortet. In einem Multi-Modell-Arbeitsbereich ist das ein Wechsel im Auswahlmenü, der die Stufe des zweiten Modells kostet, 1 Credit für Whizi AI oder 10 für Claude Sonnet 5, und wie man ein KI-Modell auswählt behandelt die Unterschiede, die über Ablehnungen hinausgehen.
Was nicht funktioniert, und wobei Whizi nicht hilft: Prompts, die darauf ausgelegt sind, die Richtlinie eines Anbieters auszuhebeln. Jedes Modell auf Whizi wird über OpenRouter und den jeweiligen Anbieter bereitgestellt, sodass für jede Nachricht dessen Sicherheitsschichten und Nutzungsrichtlinie gelten, und ein funktionierender Jailbreak ist ein Richtlinienverstoß bei beiden Unternehmen. Das legitime Bedürfnis, eine offene Antwort auf eine legitime Frage, wird erfüllt, indem man schlicht fragt und, falls abgelehnt, ein Modell mit einer anderen Richtlinie fragt.
Wohin sich Jailbreaking entwickelt
Drei Verschiebungen sind in der veröffentlichten Arbeit bereits sichtbar. Klassifikator-Schichten werden zum Standard, und ihre Rate falscher Ablehnungen ist die Zahl, die man beobachten sollte, denn ein Schutz, der einen Apotheker blockiert, ist ein Schutz, den Menschen umgehen. Offene Modelle, die der Leitfaden zu Open-Source-LLMs behandelt, können ihr Ablehnungstraining durch Fine-Tuning entfernt bekommen, sodass bei diesen Modellen der Guardrail dort liegt, wo sie gehostet werden, und nicht in den Gewichten. Und Agenten erhöhen den Einsatz: Ein gejailbreakter Chatbot sagt etwas, das er nicht sagen sollte, während ein gejailbreakter Agent mit Werkzeugen etwas tut, weshalb der Bestätigungsschritt vor einer Aktion mehr zählt als jede Ablehnung.
- Behandle eine Ablehnung als Vermutung des Modells über die Absicht, und ergänze vor dem nächsten Versuch einen Satz Kontext
- Wenn ein Modell eine vernünftige Anfrage ablehnt, frage ein anderes Modell; Anbieter ziehen die Grenze an unterschiedlichen Stellen
- Lies Sicherheitsangaben der Anbieter als Raten, und achte auf die Zahl falscher Ablehnungen neben der Erfolgsrate von Angriffen
- Nutze keine veröffentlichten Jailbreak-Prompts; sie werden innerhalb von Wochen gepatcht und verstoßen gegen die Nutzungsbedingungen jedes Anbieters
- Bei allem mit angeschlossenen Werkzeugen ist der Bestätigungsschritt vor einer Aktion wichtiger als Ablehnungen
Häufige Fragen
Was bedeutet Jailbreaking bei KI?
Ein Modell dazu bringen, Inhalte zu liefern, die sein Sicherheitstraining eigentlich verweigern soll, mit einem geschickt formulierten Prompt: einer Rollenspiel-Persona, einer fiktionalen Rahmung, einer kodierten Anfrage oder Hunderten Beispieldialogen. Es funktioniert, weil Ablehnung eine antrainierte Gewohnheit ist und keine feste Regel, sodass ein Prompt, der Erfüllung wahrscheinlicher erscheinen lässt als Ablehnung, durchkommt.
Ist KI-Jailbreaking illegal?
Es verstößt gegen die Nutzungsrichtlinie jedes großen Anbieters und kann zur Sperrung eines Kontos führen; ob es illegal ist, hängt davon ab, wofür die Ausgabe verwendet wird und wo man sich befindet. Anbieter betreiben dafür Bug-Bounties, sodass das Finden und Melden eines Jailbreaks willkommen ist, während die Nutzung eines Jailbreaks zur Beschaffung schädlicher Inhalte es nicht ist.
Was war der DAN-Jailbreak?
DAN, "Do Anything Now", war ein Rollenspiel-Prompt, der ab Dezember 2022 auf Reddit kursierte und ChatGPT anwies, eine Persona ohne Regeln zu spielen. Er funktionierte, weil Ablehnungsverhalten an die Assistenten-Persona gebunden war, und er hörte innerhalb von Wochen bis Monaten auf zu funktionieren, sobald OpenAI das Modell aktualisierte. Jede neue Version wiederholte den Zyklus.
Wie wirksam sind KI-Guardrails?
Anthropics Paper zu constitutional classifiers hat es gemessen: 86 Prozent der automatisierten Jailbreak-Versuche waren beim ungeschützten Modell erfolgreich, 4,4 Prozent beim Modell mit Klassifikatoren, die Eingaben und Ausgaben prüfen, bei 23,7 Prozent mehr Rechenaufwand pro Anfrage und einem Anstieg der Ablehnungen harmloser Anfragen um 0,38 Punkte. Guardrails senken die Rate; kein Anbieter behauptet null.
Was tun, wenn eine KI eine vernünftige Anfrage ablehnt?
Kontext ergänzen, dann das Modell wechseln. Ein Satz darüber, wer du bist und warum du fragst, verändert die Vermutung des Modells über die Absicht. Lehnt es weiterhin ab, beantwortet oft ein Modell eines anderen Anbieters die Frage, da jeder seine Grenze anders zieht. Bei Whizi ist das ein Modellwechsel innerhalb desselben Gesprächs. Veröffentlichte Jailbreak-Prompts werden schnell gepatcht und verstoßen gegen die Nutzungsbedingungen der Anbieter.
