جیلبریک هوش مصنوعی چیست؟

امتناع یک عادت است، و جیلبریک راهی برای شکستن آن

یک مدل قاعده‌ای به این مضمون که «توضیح دادن نحوهٔ باز کردن قفل ممنوع است» را در خود ندارد. آن‌چه دارد عادت امتناع است که در مرحلهٔ پس از آموزش نصب می‌شود، همان مرحله‌ای که فاین‌تیونینگ هوش مصنوعی چیست توضیح می‌دهد؛ جایی که افراد امتناع از درخواست‌های مضر را بالاتر از پذیرش امتیاز داده‌اند تا جایی که امتناع محتمل‌ترین ادامهٔ چنین درخواستی شده است. محتمل، نه قطعی.

جیلبریک هر پرامپتی است که این احتمال‌ها را تغییر می‌دهد. درخواست را در قالب یک داستان بپیچید و محتمل‌ترین ادامه، خط بعدی داستان می‌شود. آن را به تکه‌های بی‌ضرر تقسیم کنید و هیچ تکه‌ای عادت امتناع را فعال نمی‌کند. آن را به base64 رمزگذاری کنید و آموزش امتناع، که با زبان انگلیسی ساده دیده شده، آن را نمی‌شناسد. به مدل دویست نمونه از پذیرش دستیار نشان دهید و درخواست دویست‌ویکم هم‌سو پاسخ داده می‌شود؛ چیزی که Anthropic در آوریل 2024 «جیلبریک چند-نمونه‌ای» نامید و با رشد پنجرهٔ زمینه آسان‌تر شد.

این همان سازوکاری است که مدل را مفید می‌کند: پیروی از الگوی ورودی خودش. آموزش ایمنی برخی الگوها را بسیار کم‌احتمال می‌کند؛ جیلبریک الگویی پیدا می‌کند که آموزش پوشش نداده است. به همین دلیل این مسئله با یک قاعدهٔ بهتر حل نمی‌شود و شرکت‌های سازنده آن را به‌صورت یک نرخ اندازه می‌گیرند.

تکنیک‌های رایج، و هرکدام از چه چیزی سوءاستفاده می‌کنند

پرامپت‌های DAN که از دسامبر 2022 در Reddit پخش شدند نسخهٔ عامیانهٔ این ماجرا بودند، و هر نسخه ظرف چند هفته تا چند ماه، با به‌روزرسانی مدل توسط OpenAI، از کار می‌افتاد و نسخهٔ بعدی ظاهر می‌شد. هر تکنیک نام‌داری همین چرخه را طی می‌کند: منتشر می‌شود، سپس اصلاح می‌شود. Anthropic یک پاداش پولی برای یافتن جیلبریکی جهانی علیه طبقه‌بندهایش برگزار کرد که اکنون کار پایدار به آنجا رفته است.

یک تمایز را باید در نظر داشت. جیلبریک، کاربر در برابر سیاست مدل است. تزریق پرامپت چیست شخص ثالث در برابر کاربر است، از طریق محتوایی که مدل می‌خواند. تکنیک‌ها هم‌پوشانی دارند؛ قربانیان نه.

یک حفاظ عملاً چه چیزی را متوقف می‌کند، اندازه‌گیری‌شده

بهترین عدد عمومی از طبقه‌بندهای مبتنی بر قانون اساسی Anthropic می‌آید که در فوریهٔ 2025 منتشر شد. این تیم مدل‌های طبقه‌بند جداگانه‌ای برای بررسی ورودی‌ها و خروجی‌های اطراف Claude آموزش داد، سپس همان حملات خودکار جیلبریک را با و بدون این لایهٔ محافظ روی مدل اجرا کرد.

هزینهٔ این کاهش نیمهٔ دیگر نتیجه است. طبقه‌بندها 23.7 درصد به محاسبات هر پرسش افزودند و امتناع از درخواست‌های بی‌ضرر را 0.38 واحد درصد بالا بردند. پیش از آزمون خودکار، 183 نفر بیش از 3,000 ساعت در یک برنامهٔ پاداش کشف باگ صرف کردند تا جیلبریکی جهانی، یعنی یک پرامپت که هر ده پرسش ممنوعه را باز کند، پیدا کنند و هیچ‌کس موفق نشد. یک چالش عمومی بعدی پس از یک هفته یکی پیدا کرد. نرخ صفر نیست؛ نکته این است که از موفقیت بیشتر تلاش‌ها به موفقیت چندتای معدود رسید.

این همان معنای عملی «حفاظ‌ها» است: مجموعه‌ای از احتمالات. عادت امتناع آموخته‌شده بیشتر موارد را می‌گیرد. یک طبقه‌بند بیشترِ باقی‌مانده را می‌گیرد. بازبینی انسانی بخشی از باقی‌مانده را می‌گیرد. هر لایه هزینه‌ای از تأخیر، پول یا امتناع نادرست دارد و شرکت سازنده نقطه‌ای روی این منحنی انتخاب می‌کند. آیا استفاده از هوش مصنوعی امن است این نقطه را برای ریسک‌هایی که واقعاً با آن‌ها روبه‌رو می‌شوید توضیح می‌دهد.

چرا احتمالاً به یک بازنویسی نیاز داشتید، نه به جیلبریک

بسیاری از کسانی که دنبال جیلبریک می‌گردند فقط از یک درخواست معقول امتناع شنیده‌اند. پزشکی که دربارهٔ دوز دارو پرسیده، رمان‌نویسی که شخصیت منفی می‌نویسد، پژوهشگر امنیتی‌ای که یک حملهٔ واقعی را توصیف می‌کند، مورخی که متنی واقعی را نقل می‌کند. رشد 0.38 واحدی بالا فقط سهم طبقه‌بند است؛ عادت آموخته‌شده به‌تنهایی نیز امتناع می‌کند و هیچ‌کس آن نرخ را منتشر نمی‌کند.

دو چیز جواب می‌دهند و هیچ‌کدام جیلبریک نیستند. اولی زمینه است. امتناع حدس مدل است که درخواست مضر است، و یک جمله دربارهٔ این‌که شما که هستید و چرا می‌پرسید این حدس را تغییر می‌دهد: «من یک داروسازم که دوز کودک را بررسی می‌کنم» ورودی‌ای متفاوت از پرسش خام است. دومی خود مدل است. شرکت‌های سازنده خطوط قرمز خود را در جاهای متفاوتی می‌کشند، و درخواستی که یک مدل امتناع می‌کند معمولاً توسط مدل دیگری که آن را عادی می‌داند پاسخ داده می‌شود. در فضای کاری چندمدلی این فقط تغییر انتخاب‌گر است که هزینهٔ ردهٔ مدل دوم را دارد، 1 اعتبار برای Whizi AI یا 10 برای Claude Sonnet 5، و چگونه مدل هوش مصنوعی را انتخاب کنیم تفاوت‌های فراتر از امتناع را پوشش می‌دهد.

چیزی که جواب نمی‌دهد، و چیزی که Whizi در آن کمک نمی‌کند: پرامپت‌هایی که برای شکست دادن سیاست یک ارائه‌دهنده طراحی شده‌اند. هر مدل در Whizi از طریق OpenRouter و ارائه‌دهندهٔ مسیریابی‌شده سرویس‌دهی می‌شود، بنابراین لایه‌های ایمنی و سیاست استفادهٔ آن ارائه‌دهنده برای هر پیام اعمال می‌شود، و جیلبریکی که جواب بدهد نقض سیاست هر دو شرکت است. نیاز مشروع، یعنی پاسخی صریح به پرسشی مشروع، با پرسیدن رک و در صورت امتناع، پرسیدن از مدلی با سیاستی متفاوت برآورده می‌شود.

جیلبریک به کجا می‌رود

سه تغییر از هم‌اکنون در آثار منتشرشده دیده می‌شود. لایه‌های طبقه‌بند دارند استاندارد می‌شوند و نرخ امتناع نادرست آن‌ها عددی است که باید زیر نظر داشت، چون حفاظی که یک داروساز را مسدود کند حفاظی است که مردم دورش می‌زنند. مدل‌های وزن‌باز، که راهنمای LLMهای متن‌باز پوشش می‌دهد، می‌توانند آموزش امتناعشان با فاین‌تیونینگ حذف شود، پس برای این مدل‌ها حفاظ هرجایی است که میزبانی می‌شوند نه در وزن‌ها. و ایجنت‌ها ریسک را بالا می‌برند: یک چت‌بات جیلبریک‌شده چیزی می‌گوید که نباید بگوید، درحالی‌که ایجنت جیلبریک‌شده با ابزارها کاری انجام می‌دهد؛ به همین دلیل گام تأیید پیش از یک عمل مهم‌تر از هر امتناعی است.