Un rechazo es un hábito, y un jailbreak es una forma de romperlo
Un modelo no contiene una regla que diga "no expliques cómo forzar una cerradura". Contiene el hábito de rechazar, instalado durante la etapa de post-entrenamiento que describe qué es el fine-tuning en IA, en la que las personas puntuaron los rechazos de solicitudes dañinas por encima del cumplimiento hasta que rechazar se convirtió en la continuación más probable de esas solicitudes. Probable, no segura.
Un jailbreak es cualquier prompt que cambia esas probabilidades. Envuelve la solicitud en una historia y la continuación más probable es la siguiente línea de la historia. Divídela en piezas inocentes y ninguna pieza activa el hábito. Codifícala en base64 y el entrenamiento de rechazo, que vio inglés sencillo, no lo reconoce. Da al modelo doscientos ejemplos de un asistente accediendo y la solicitud número doscientos uno recibe la misma respuesta, algo que Anthropic bautizó como many-shot jailbreaking en abril de 2024 y que se volvió más fácil a medida que crecieron las ventanas de contexto.
El mecanismo es el mismo que hace útil al modelo. Sigue el patrón de su entrada. El entrenamiento de seguridad hace mucho menos probables ciertos patrones; un jailbreak encuentra un patrón que ese entrenamiento no cubrió. Por eso el problema no se resuelve con una mejor regla, y por eso los proveedores lo miden como una tasa.
Las técnicas más comunes, y qué explota cada una
| Técnica | Cómo funciona | Qué explota |
|---|---|---|
| Juego de rol ("eres DAN, Do Anything Now") | Asigna al modelo una persona sin reglas | Los rechazos están ligados a la persona del asistente, no al predictor subyacente |
| Marco hipotético o de ficción | "En una novela, un personaje explica cómo..." | La ficción es una tarea legítima, y el entrenamiento recompensó completarla |
| Codificación y ofuscación | Base64, cifrados, leetspeak, otro idioma | El entrenamiento de rechazo fue mayormente en inglés sencillo |
| Many-shot | Cientos de intercambios de ejemplo donde el asistente accede | El modelo continúa el patrón de su contexto |
| Escalada gradual | Una conversación larga que avanza un paso a la vez | Cada paso está cerca del anterior; ningún mensaje aislado activa el hábito |
| Inyección de prompt en las instrucciones | "Ignora las instrucciones anteriores" | Se solapa con la inyección; el objetivo son las reglas de la app, no las del modelo |
Los prompts DAN que circularon en Reddit desde diciembre de 2022 son la versión popular, y cada versión dejaba de funcionar en semanas o meses a medida que OpenAI actualizaba el modelo, y aparecía la siguiente versión. Cada técnica conocida sigue ese ciclo: se publica, luego se corrige. Anthropic organizó una recompensa pagada por un jailbreak universal contra sus clasificadores, que es donde ahora se concentra el trabajo duradero.
Una distinción a tener presente. Un jailbreak es el usuario contra la política del modelo. Qué es la inyección de prompts es un tercero contra el usuario, a través de contenido que el modelo lee. Las técnicas se solapan; las víctimas no.
Lo que una barrera de seguridad realmente detiene, medido
El mejor dato público viene de los clasificadores constitucionales de Anthropic, publicados en febrero de 2025. El equipo entrenó modelos clasificadores independientes para filtrar entradas y salidas alrededor de Claude, y luego ejecutó los mismos ataques de jailbreak automatizados contra el modelo con y sin ese filtro.
El costo de esa caída es la otra mitad del resultado. Los clasificadores añadieron un 23.7 por ciento de cómputo por consulta y elevaron los rechazos de solicitudes inofensivas en 0.38 puntos porcentuales. Antes de la prueba automatizada, 183 personas pasaron más de 3,000 horas en un programa de recompensas intentando encontrar un jailbreak universal, un solo prompt que desbloqueara las diez preguntas prohibidas, y ninguna lo logró. Un desafío público posterior encontró uno tras una semana. La tasa no es cero; el punto es que pasó de que la mayoría de los intentos tuvieran éxito a que solo unos pocos lo tuvieran.
Eso es lo que significan las "barreras de seguridad" en la práctica: una pila de probabilidades. El rechazo entrenado atrapa a la mayoría. Un clasificador atrapa la mayor parte de lo que queda. Una revisión humana atrapa parte del resto. Cada capa cuesta latencia, dinero o rechazos falsos, y el proveedor elige un punto en esa curva. Es segura la IA explica qué significa ese punto para los riesgos que realmente enfrentas.
Por qué probablemente querías una reformulación, no un jailbreak
Muchas personas que buscan un jailbreak simplemente recibieron un rechazo a algo razonable. Un médico preguntando sobre una dosis, un novelista escribiendo a un villano, un investigador de seguridad describiendo un ataque real, un historiador citando un texto real. El aumento de 0.38 puntos mencionado antes es solo la parte del clasificador; el hábito entrenado rechaza por su cuenta, y nadie publica esa tasa.
Dos cosas funcionan y ninguna es un jailbreak. La primera es el contexto. Un rechazo es la suposición del modelo de que la solicitud es dañina, y una frase sobre quién eres y por qué preguntas cambia esa suposición: "soy farmacéutico verificando una dosis pediátrica" es una entrada distinta a la pregunta desnuda. La segunda es el modelo. Los proveedores trazan sus límites en lugares distintos, y una solicitud que un modelo rechaza suele ser respondida sin problema por otro que la considera ordinaria. En un espacio de trabajo multimodelo eso es un cambio de selector que cuesta el escalón del segundo modelo, 1 crédito para Whizi AI o 10 para Claude Sonnet 5, y cómo elegir un modelo de IA cubre las diferencias que van más allá de los rechazos.
Lo que no funciona, y con lo que Whizi no ayudará: prompts diseñados para vencer la política de un proveedor. Cada modelo en Whizi se sirve a través de OpenRouter y del proveedor enrutado, así que las capas de seguridad y la política de uso de ese proveedor aplican a cada mensaje, y un jailbreak que funciona es una violación de política en ambas empresas. La necesidad legítima, una respuesta franca a una pregunta legítima, se satisface preguntando con claridad y, si es rechazada, probando con un modelo con una política distinta.
Hacia dónde va el jailbreak
Tres cambios ya son visibles en el trabajo publicado. Las capas de clasificadores se están volviendo estándar, y su tasa de rechazos falsos es el número a vigilar, porque una barrera que bloquea a un farmacéutico es una barrera que la gente busca evitar. Los modelos de peso abierto, que cubre la guía de LLM de código abierto, pueden tener su entrenamiento de rechazo eliminado mediante fine-tuning, así que para esos modelos la barrera de seguridad está donde se alojan y no en los pesos. Y los agentes elevan la apuesta: un chatbot con jailbreak dice algo que no debería, mientras que un agente con jailbreak y herramientas hace algo, por eso el paso de confirmación antes de una acción importa más que cualquier rechazo.
- Trata un rechazo como la suposición del modelo sobre la intención, y añade una frase de contexto antes de volver a intentarlo
- Cuando un modelo rechaza una solicitud razonable, pregunta a otro modelo; los proveedores trazan el límite en lugares distintos
- Lee las afirmaciones de seguridad de los proveedores como tasas, y busca el número de rechazos falsos junto al de éxito de ataques
- No uses prompts de jailbreak publicados; se corrigen en semanas e incumplen los términos de todo proveedor
- Para cualquier cosa con herramientas conectadas, presta más atención al paso de confirmación antes de una acción que a los rechazos
Preguntas frecuentes
¿Qué significa hacer jailbreak a una IA?
Lograr que un modelo produzca una salida que su entrenamiento de seguridad debería rechazar, usando un prompt diseñado: una persona de juego de rol, un planteamiento ficticio, una solicitud codificada o cientos de intercambios de ejemplo. Funciona porque el rechazo es un hábito entrenado y no una regla fija, así que un prompt que hace que el cumplimiento parezca más probable que el rechazo logra pasar.
¿Es ilegal el jailbreak de IA?
Incumple la política de uso de todos los proveedores importantes y puede provocar el baneo de una cuenta; si es ilegal depende de para qué se use la salida y de dónde estés. Los proveedores organizan recompensas por encontrar jailbreaks, así que encontrar uno y reportarlo es bienvenido, mientras que usarlo para obtener contenido dañino no lo es.
¿Qué fue el jailbreak DAN?
DAN, "Do Anything Now", fue un prompt de juego de rol que circuló en Reddit desde diciembre de 2022 y le decía a ChatGPT que actuara como una persona sin reglas. Funcionó porque el comportamiento de rechazo estaba ligado a la persona del asistente, y dejó de funcionar en semanas o meses a medida que OpenAI actualizaba el modelo. Cada nueva versión repitió el ciclo.
¿Qué tan efectivas son las barreras de seguridad de la IA?
El estudio de clasificadores constitucionales de Anthropic lo midió: el 86 por ciento de los intentos automatizados de jailbreak tuvo éxito contra el modelo desnudo y el 4.4 por ciento contra el modelo con clasificadores filtrando entradas y salidas, con un 23.7 por ciento más de cómputo por consulta y un aumento de 0.38 puntos en rechazos de solicitudes inofensivas. Las barreras de seguridad reducen la tasa; ningún proveedor afirma tener cero.
¿Qué debo hacer cuando una IA rechaza una solicitud razonable?
Añade contexto y luego cambia de modelo. Una frase indicando quién eres y por qué preguntas cambia la suposición del modelo sobre la intención. Si sigue rechazando, el modelo de otro proveedor suele responder, porque cada uno traza su límite de forma distinta. En Whizi eso es un cambio de modelo en la misma conversación. Los prompts de jailbreak publicados se corrigen rápido e incumplen los términos del proveedor.
