סירוב הוא הרגל, וג'יילברייק הוא דרך לשבור אותו
מודל לא מכיל כלל שאומר "אל תסביר איך פותחים מנעול". הוא מכיל את ההרגל של סירוב, שהותקן בשלב האימון שלאחר האימון הראשוני, המתואר במה זה fine-tuning ב-AI, שבו אנשים דירגו סירובים לבקשות פוגעניות מעל היענות עד שסירוב הפך להמשך הסביר ביותר לבקשה כזו. סביר, לא ודאי.
ג'יילברייק הוא כל פרומפט שמשנה את ההסתברויות. עוטפים את הבקשה בסיפור וההמשך הסביר ביותר הוא השורה הבאה בסיפור. מפצלים אותה לחלקים תמימים ואף חלק לא מפעיל את ההרגל. מקודדים אותה בבייס64 ואימון הסירוב, שראה אנגלית פשוטה, לא מזהה אותה. נותנים למודל מאתיים דוגמאות של עוזר שנענה, והבקשה המאתיים ואחת נענית באותו האופן, מה ש-Anthropic כינתה many-shot jailbreaking באפריל 2024 ומה שהפך לקל יותר ככל שחלונות ההקשר גדלו.
המנגנון זהה לזה שהופך את המודל לשימושי. הוא עוקב אחר הדפוס של הקלט שלו. אימון הבטיחות הופך דפוסים מסוימים לפחות סבירים בהרבה; ג'יילברייק מוצא דפוס שהאימון לא כיסה. זו הסיבה שהבעיה לא נפתרת עם כלל טוב יותר, וזו הסיבה שהספקים מודדים אותה כשיעור.
הטכניקות הנפוצות, ומה כל אחת מנצלת
| טכניקה | איך זה עובד | מה זה מנצל |
|---|---|---|
| משחק תפקידים ("אתה DAN, Do Anything Now") | מקצה למודל דמות ללא חוקים | סירובים קשורים לדמות העוזר, לא לחזאי שמתחתיה |
| מסגור היפותטי או בדיוני | "ברומן, דמות מסבירה איך..." | כתיבה בדיונית היא משימה לגיטימית, והאימון תגמל השלמה שלה |
| קידוד והסוואה | בייס64, צפנים, ליטספיק, שפה אחרת | אימון הסירוב היה בעיקר באנגלית פשוטה |
| Many-shot | מאות דוגמאות של חילופי דברים שבהם העוזר נענה | המודל ממשיך את הדפוס של ההקשר שלו |
| הסלמה הדרגתית | שיחה ארוכה שמתקדמת צעד אחד בכל פעם | כל צעד קרוב לקודם; אף הודעה בודדת לא מפעילה את ההרגל |
| הזרקת פרומפט להוראות | "התעלם מההוראות הקודמות" | חופף להזרקה; המטרה היא כללי האפליקציה ולא של המודל |
פרומפטי DAN שהופצו ברדיט מדצמבר 2022 הם הגרסה העממית, וכל גרסה הפסיקה לעבוד תוך שבועות עד חודשים כש-OpenAI עדכנה את המודל, והגרסה הבאה הופיעה. כל טכניקה בעלת שם עוברת את אותו מחזור: מתפרסמת, ואז מתוקנת. Anthropic הריצה תוכנית תגמול בתשלום עבור ג'יילברייק אוניברסלי נגד המסווגים שלה, ושם נמצאת כיום העבודה בת הקיימא.
הבחנה אחת שכדאי לזכור. ג'יילברייק הוא המשתמש נגד המדיניות של המודל. מה זה prompt injection הוא צד שלישי נגד המשתמש, דרך תוכן שהמודל קורא. הטכניקות חופפות; הקורבנות לא.
מה חסם בטיחות באמת עוצר, במדידה
המספר הציבורי הטוב ביותר מגיע מהמסווגים החוקתיים (constitutional classifiers) של Anthropic, שפורסמו בפברואר 2025. הצוות אימן מודלי מסווג נפרדים לסנן קלטים ופלטים סביב Claude, ואז הריץ את אותם התקפות ג'יילברייק אוטומטיות נגד המודל, עם ובלי המסך.
המחיר של הירידה הזו הוא החצי השני של התוצאה. המסווגים הוסיפו 23.7 אחוז לחישוב לכל שאילתה והעלו סירובים לבקשות תמימות ב-0.38 נקודות אחוז. לפני המבחן האוטומטי, 183 אנשים בילו יותר מ-3,000 שעות בתוכנית באגים בניסיון למצוא ג'יילברייק אוניברסלי, פרומפט אחד שפותח את כל עשר השאלות האסורות, ואף אחד לא הצליח. אתגר ציבורי מאוחר יותר מצא אחד תוך שבוע. השיעור לא אפס; הנקודה היא שהוא זז מרוב הניסיונות מצליחים לכמה בודדים.
זה מה ש"חסמי בטיחות" אומר בפועל: ערימה של הסתברויות. הסירוב המאומן תופס את הרוב. מסווג תופס את רוב מה שנשאר. בדיקה אנושית תופסת חלק מהשארית. כל שכבה עולה בזמן תגובה, בכסף או בסירובים שגויים, והספק בוחר נקודה על העקומה הזו. האם AI בטוח לשימוש מסביר מה הנקודה הזו אומרת לגבי הסיכונים שבאמת רלוונטיים לך.
למה כנראה רצית ניסוח מחדש, לא ג'יילברייק
הרבה אנשים שמחפשים ג'יילברייק פשוט קיבלו סירוב לדבר סביר. רופא ששאל על מינון, סופר שכותב נבל, חוקר אבטחה שמתאר התקפה אמיתית, היסטוריון שמצטט טקסט אמיתי. העלייה של 0.38 נקודות שהוזכרה למעלה היא רק החלק של המסווג; ההרגל המאומן מסרב לבד, ואף אחד לא מפרסם את השיעור הזה.
שני דברים עובדים ואף אחד מהם אינו ג'יילברייק. הראשון הוא הקשר. סירוב הוא הניחוש של המודל שהבקשה פוגענית, ומשפט אחד על מי אתה ולמה אתה שואל משנה את הניחוש: "אני רוקח שבודק מינון לילדים" הוא קלט שונה מהשאלה הגולמית. השני הוא המודל. ספקים מציבים את הקווים שלהם במקומות שונים, ובקשה שמודל אחד מסרב לה נענית באופן שגרתי על ידי מודל אחר שרואה בה רגילה. בסביבת עבודה מרובת מודלים זהו החלפת מודל שעולה את דרגת המודל השני, קרדיט אחד עבור Whizi AI או 10 עבור Claude Sonnet 5, ואיך לבחור מודל AI מסביר את ההבדלים שמעבר לסירובים.
מה שלא עובד, ובמה Whizi לא תעזור: פרומפטים שנועדו להביס את המדיניות של ספק. כל מודל ב-Whizi מוגש דרך OpenRouter והספק המנתב, כך ששכבות הבטיחות ומדיניות השימוש של אותו ספק חלות על כל הודעה, וג'יילברייק שעובד הוא הפרת מדיניות בשתי החברות. הצורך הלגיטימי, תשובה כנה לשאלה לגיטימית, מתמלא בשאלה ישירה, ואם מסרבים, בשאלת מודל עם מדיניות אחרת.
לאן הג'יילברייק הולך
שלושה שינויים כבר נראים בעבודה שפורסמה. שכבות מסווג הופכות לסטנדרט, ושיעור הסירוב השגוי שלהן הוא המספר לעקוב אחריו, כי חסם שחוסם רוקח הוא חסם שאנשים עוקפים. מודלים עם משקלים פתוחים, שמכוסים במדריך מודלי ה-LLM בקוד פתוח, יכולים לעבור הסרה של אימון הסירוב באמצעות fine-tuning, כך שעבור מודלים אלה חסם הבטיחות נמצא היכן שהם מתארחים ולא במשקלים עצמם. וסוכני AI מעלים את הסיכון: צ'אטבוט פרוץ אומר משהו שהוא לא אמור, בעוד סוכן פרוץ עם כלים עושה משהו, וזו הסיבה שצעד האישור לפני פעולה חשוב יותר מכל סירוב.
- התייחסו לסירוב כניחוש של המודל לגבי הכוונה, והוסיפו משפט הקשר אחד לפני ניסיון נוסף
- כשמודל מסרב לבקשה סבירה, שאלו מודל אחר; ספקים מציבים את הקו במקומות שונים
- קראו טענות בטיחות של ספקים כשיעורים, וחפשו את מספר הסירוב השגוי לצד מספר הצלחת ההתקפה
- אל תשתמשו בפרומפטים פרוצים שפורסמו; הם מתוקנים תוך שבועות והם מפרים את התנאים של כל ספק
- בכל דבר עם כלים מחוברים, שימו לב לצעד האישור לפני פעולה יותר מאשר לסירובים
שאלות נפוצות
מה זה לפרוץ AI (jailbreak)?
לגרום למודל להפיק פלט שהאימון הבטיחותי שלו אמור לסרב לו, בעזרת פרומפט מתוחכם: דמות במשחק תפקידים, מסגור בדיוני, בקשה מקודדת, או מאות דוגמאות של חילופי דברים. זה עובד כי סירוב הוא הרגל מאומן ולא כלל נוקשה, אז פרומפט שגורם להיענות להיראות סבירה יותר מסירוב עובר.
האם ג'יילברייק ל-AI לא חוקי?
זה מפר את מדיניות השימוש של כל ספק גדול ועלול לגרום לחסימת חשבון; האם זה לא חוקי תלוי במה שעושים עם הפלט והיכן אתה נמצא. ספקים מריצים תוכניות תגמול עבור זה, אז מציאת ג'יילברייק ודיווח עליו מתקבל בברכה, בעוד שימוש בו כדי לקבל תוכן פוגעני לא.
מה היה ג'יילברייק ה-DAN?
DAN, "Do Anything Now", היה פרומפט משחק תפקידים שהופץ ברדיט מדצמבר 2022 שאמר ל-ChatGPT להתנהג כדמות ללא חוקים. הוא עבד כי התנהגות הסירוב הייתה קשורה לדמות העוזר, והוא הפסיק לעבוד תוך שבועות עד חודשים כש-OpenAI עדכנה את המודל. כל גרסה חדשה חזרה על המחזור.
עד כמה יעילים חסמי בטיחות ב-AI?
המאמר על המסווגים החוקתיים של Anthropic מדד את זה: 86 אחוז מהתקפות הג'יילברייק האוטומטיות הצליחו נגד המודל החשוף ו-4.4 אחוז נגד המודל עם מסווגים שסיננו קלט ופלט, במחיר של 23.7 אחוז יותר חישוב לכל שאילתה ועלייה של 0.38 נקודות בסירובים לבקשות תמימות. חסמי בטיחות מורידים את השיעור; אף ספק לא טוען לאפס.
מה לעשות כש-AI מסרב לבקשה סבירה?
הוסיפו הקשר, ואז החליפו מודל. משפט שמציין מי אתה ולמה אתה שואל משנה את הניחוש של המודל לגבי הכוונה. אם הוא עדיין מסרב, מודל של ספק אחר לרוב עונה, כי כל אחד מציב את הקו שלו אחרת. ב-Whizi זו החלפת מודל באותה שיחה. פרומפטים פרוצים שפורסמו מתוקנים מהר ומפרים את תנאי הספק.
