Qu'est-ce que le jailbreak ai ?

Un refus est une habitude, et un jailbreak est un moyen de la briser

Un modèle ne contient pas de règle disant "n'explique pas comment crocheter une serrure". Il contient l'habitude de refuser, installée pendant l'étape de post-entraînement que décrit qu'est-ce que le fine-tuning en IA, où des personnes ont noté les refus de requêtes nuisibles au-dessus de la conformité jusqu'à ce que refuser devienne la continuation la plus probable de telles requêtes. Probable, pas certaine.

Un jailbreak est n'importe quel prompt qui modifie ces probabilités. Enveloppez la requête dans une histoire et la continuation la plus probable devient la prochaine ligne du récit. Découpez-la en fragments anodins et aucun fragment ne déclenche l'habitude. Encodez-la en base64 et l'entraînement au refus, qui a vu de l'anglais courant, ne la reconnaît pas. Donnez au modèle deux cents exemples d'un assistant qui obtempère et la deux cent unième requête reçoit le même traitement, ce qu'Anthropic a nommé many-shot jailbreaking en avril 2024 et qui est devenu plus facile à mesure que les fenêtres de contexte s'agrandissaient.

Le mécanisme est le même que celui qui rend le modèle utile. Il suit le motif de son entrée. L'entraînement de sécurité rend certains motifs beaucoup moins probables ; un jailbreak trouve un motif que l'entraînement n'a pas couvert. C'est pourquoi le problème ne se résout pas par une meilleure règle, et pourquoi les fournisseurs le mesurent comme un taux.

Les techniques courantes, et ce que chacune exploite

Les prompts DAN qui ont circulé sur Reddit à partir de décembre 2022 en sont la version populaire, et chaque version a cessé de fonctionner en quelques semaines à quelques mois à mesure qu'OpenAI mettait le modèle à jour, puis la version suivante apparaissait. Chaque technique nommée suit ce cycle : publiée, puis corrigée. Anthropic a lancé une prime en argent pour un jailbreak universel contre ses classificateurs, ce qui est désormais le terrain du travail durable.

Une distinction à retenir. Un jailbreak oppose l'utilisateur à la politique du modèle. Qu'est-ce que l'injection de prompt oppose un tiers à l'utilisateur, via un contenu que le modèle lit. Les techniques se chevauchent ; les victimes non.

Ce qu'un garde-fou arrête réellement, mesuré

Le meilleur chiffre public vient des classificateurs constitutionnels d'Anthropic, publiés en février 2025. L'équipe a entraîné des modèles de classification distincts pour filtrer les entrées et sorties autour de Claude, puis a lancé les mêmes attaques de jailbreak automatisées contre le modèle avec et sans ce filtre.

Le coût de cette baisse est l'autre moitié du résultat. Les classificateurs ont ajouté 23,7 pour cent de calcul par requête et augmenté les refus de requêtes inoffensives de 0,38 point de pourcentage. Avant le test automatisé, 183 personnes ont passé plus de 3 000 heures dans une prime aux bugs à chercher un jailbreak universel, un seul prompt qui débloquerait les dix questions interdites, et aucune n'y est parvenue. Un défi public ultérieur en a trouvé un après une semaine. Le taux n'est pas nul ; l'essentiel est qu'il soit passé de la plupart des tentatives réussies à quelques-unes.

Voilà ce que signifient les "garde-fous" en pratique : un empilement de probabilités. Le refus entraîné en capture la plupart. Un classificateur capture la plupart de ce qui reste. Une revue humaine capture une partie du reliquat. Chaque couche coûte de la latence, de l'argent ou des refus injustifiés, et le fournisseur choisit un point sur cette courbe. L'IA est-elle sûre à utiliser détaille ce que ce point signifie pour les risques que vous affrontez réellement.

Pourquoi vous vouliez probablement une reformulation, pas un jailbreak

Beaucoup de personnes qui cherchent un jailbreak ont simplement essuyé un refus sur quelque chose de raisonnable. Un médecin interrogé sur un dosage, un romancier écrivant un antagoniste, un chercheur en sécurité décrivant une attaque réelle, un historien citant un texte réel. La hausse de 0,38 point mentionnée plus haut ne concerne que la part du classificateur ; l'habitude entraînée refuse déjà d'elle-même, et personne ne publie ce taux.

Deux choses fonctionnent et aucune n'est un jailbreak. La première est le contexte. Un refus est la supposition du modèle que la requête est nuisible, et une phrase disant qui vous êtes et pourquoi vous demandez change cette supposition : "Je suis pharmacien et je vérifie une dose pédiatrique" est une entrée différente de la question nue. La seconde est le modèle. Les fournisseurs placent leurs limites à des endroits différents, et une requête qu'un modèle refuse est régulièrement traitée normalement par un autre. Dans un espace de travail multi-modèles, cela revient à un changement de sélection qui coûte le palier du second modèle, 1 crédit pour Whizi AI ou 10 pour Claude Sonnet 5, et comment choisir un modèle d'IA couvre les différences qui vont au-delà des refus.

Ce qui ne fonctionne pas, et ce pour quoi Whizi n'aidera pas : les prompts conçus pour contourner la politique d'un fournisseur. Chaque modèle sur Whizi est servi via OpenRouter et le fournisseur acheminé, donc les couches de sécurité et la politique d'utilisation de ce fournisseur s'appliquent à chaque message, et un jailbreak qui fonctionne est une violation de politique chez les deux entreprises. Le besoin légitime, une réponse franche à une question légitime, est satisfait en demandant simplement et, en cas de refus, en interrogeant un modèle avec une politique différente.

Où va le jailbreak

Trois évolutions sont déjà visibles dans les travaux publiés. Les couches de classificateurs deviennent la norme, et leur taux de faux refus est le chiffre à surveiller, car un garde-fou qui bloque un pharmacien est un garde-fou que les gens contournent. Les modèles à poids ouverts, que couvre le guide des LLM open source, peuvent voir leur entraînement au refus retiré par fine-tuning, donc pour ces modèles le garde-fou se trouve là où ils sont hébergés plutôt que dans les poids. Et les agents font monter les enjeux : un chatbot jailbreaké dit quelque chose qu'il ne devrait pas, tandis qu'un agent jailbreaké muni d'outils fait quelque chose, ce qui explique pourquoi l'étape de confirmation avant une action compte plus que n'importe quel refus.