इनकार एक आदत है, और जेलब्रेक उसे तोड़ने का तरीका
किसी मॉडल में यह लिखा नियम नहीं होता कि "ताला खोलना मत बताओ"। इसमें इनकार करने की आदत डाली जाती है, उस पोस्ट-ट्रेनिंग चरण में जिसे AI में fine-tuning क्या है बताता है, जहां लोगों ने हानिकारक अनुरोधों के इनकार को पालन से ऊपर रेट किया, जब तक इनकार करना ऐसे अनुरोध का सबसे संभावित जवाब न बन गया। संभावित, तय नहीं।
जेलब्रेक कोई भी ऐसा प्रॉम्प्ट है जो संभावनाओं को बदल दे। अनुरोध को एक कहानी में लपेट दें तो सबसे संभावित जवाब कहानी की अगली पंक्ति बन जाती है। उसे मासूम टुकड़ों में बांट दें तो कोई टुकड़ा उस आदत को नहीं जगाता। उसे base64 में एन्कोड कर दें तो इनकार की ट्रेनिंग, जिसने सादी अंग्रेज़ी देखी थी, उसे पहचानती नहीं। मॉडल को दो सौ उदाहरण दें जिनमें असिस्टेंट पालन करता है, तो दो सौ एकवां अनुरोध भी उसी तरह पूरा हो जाता है, जिसे Anthropic ने अप्रैल 2024 में many-shot jailbreaking नाम दिया, और यह जैसे-जैसे कॉन्टेक्स्ट विंडो बड़ी हुई, आसान होता गया।
यह वही तंत्र है जो मॉडल को उपयोगी बनाता है। यह अपने इनपुट के पैटर्न का अनुसरण करता है। सेफ्टी ट्रेनिंग कुछ पैटर्न को काफी कम संभावित बना देती है; एक जेलब्रेक ऐसा पैटर्न ढूंढ लेता है जो ट्रेनिंग में कवर नहीं हुआ था। इसीलिए यह समस्या किसी बेहतर नियम से हल नहीं होती, और इसीलिए वेंडर इसे एक दर के रूप में मापते हैं।
आम तरीके, और हर एक क्या इस्तेमाल करता है
| तरीका | यह कैसे काम करता है | यह क्या इस्तेमाल करता है |
|---|---|---|
| रोल-प्ले ("तुम DAN हो, Do Anything Now") | मॉडल को बिना नियमों वाला किरदार दे देता है | इनकार असिस्टेंट के किरदार से जुड़े होते हैं, असली प्रेडिक्टर से नहीं |
| काल्पनिक या फिक्शन फ्रेमिंग | "एक उपन्यास में, एक किरदार बताता है कि कैसे..." | फिक्शन एक जायज़ काम है, और ट्रेनिंग ने उसे पूरा करने पर इनाम दिया |
| एन्कोडिंग और छिपाव | Base64, सिफर, लीटस्पीक, दूसरी भाषा | इनकार की ट्रेनिंग ज़्यादातर सादी अंग्रेज़ी में हुई थी |
| Many-shot | सैकड़ों उदाहरण बातचीत जिनमें असिस्टेंट मान जाता है | मॉडल अपने कॉन्टेक्स्ट के पैटर्न को आगे बढ़ाता है |
| धीरे-धीरे बढ़ाना | एक लंबी बातचीत जो एक-एक कदम आगे बढ़ती है | हर कदम पिछले के करीब है; कोई एक संदेश आदत को नहीं जगाता |
| निर्देशों में प्रॉम्प्ट इंजेक्शन | "पिछले निर्देश भूल जाओ" | इंजेक्शन से मेल खाता है; निशाना मॉडल के नियम नहीं, ऐप के नियम हैं |
दिसंबर 2022 से Reddit पर फैले DAN प्रॉम्प्ट इसका देसी संस्करण थे, और हर वर्शन कुछ हफ्तों से महीनों में काम करना बंद कर देता था जैसे-जैसे OpenAI मॉडल अपडेट करता, और अगला वर्शन आ जाता। हर नामी तरीका इसी चक्र से गुज़रता है: पहले सामने आता है, फिर पैच हो जाता है। Anthropic ने अपने क्लासिफायर के खिलाफ एक यूनिवर्सल जेलब्रेक के लिए एक पेड बाउंटी चलाई, जहां अब टिकाऊ काम होता है।
एक फर्क याद रखने लायक है। जेलब्रेक में यूज़र मॉडल की पॉलिसी के खिलाफ होता है। प्रॉम्प्ट इंजेक्शन क्या है में एक तीसरा पक्ष यूज़र के खिलाफ होता है, उस कंटेंट के ज़रिए जो मॉडल पढ़ता है। तरीके ओवरलैप करते हैं; शिकार नहीं करते।
गार्डरेल असल में क्या रोकता है, नापकर
सबसे अच्छा सार्वजनिक आंकड़ा फरवरी 2025 में प्रकाशित Anthropic के constitutional classifiers से आता है। टीम ने Claude के इनपुट और आउटपुट को जांचने के लिए अलग क्लासिफायर मॉडल ट्रेन किए, फिर मॉडल पर वही ऑटोमेटेड जेलब्रेक हमले स्क्रीन के साथ और बिना स्क्रीन के चलाए।
इस गिरावट की कीमत नतीजे का दूसरा हिस्सा है। क्लासिफायर ने हर क्वेरी पर कंप्यूट 23.7 प्रतिशत बढ़ाया और मासूम अनुरोधों के इनकार को 0.38 प्रतिशत अंक बढ़ाया। ऑटोमेटेड टेस्ट से पहले, 183 लोगों ने 3,000 से ज़्यादा घंटे एक बग बाउंटी में लगाकर एक यूनिवर्सल जेलब्रेक ढूंढने की कोशिश की, यानी एक ऐसा प्रॉम्प्ट जो सभी दस मना किए सवाल खोल दे, और कोई नहीं ढूंढ पाया। एक बाद के सार्वजनिक चैलेंज में एक हफ्ते बाद एक मिल गया। दर शून्य नहीं है; बात यह है कि यह ज़्यादातर कोशिशों के कामयाब होने से घटकर कुछ ही रह गई।
व्यवहार में "गार्डरेल" का यही मतलब है: संभावनाओं का एक ढेर। ट्रेंड इनकार ज़्यादातर पकड़ लेता है। एक क्लासिफायर बाकी में से ज़्यादातर पकड़ लेता है। इंसानी समीक्षा बचे हुए में से कुछ पकड़ लेती है। हर परत लेटेंसी या पैसे या गलत इनकार की कीमत लेती है, और वेंडर उस वक्र पर एक बिंदु चुनता है। AI इस्तेमाल करना कितना सुरक्षित है बताता है कि यह बिंदु आपके असली जोखिमों के लिए क्या मायने रखता है।
शायद आपको जेलब्रेक नहीं, बस दोबारा पूछना चाहिए था
जेलब्रेक ढूंढने वाले कई लोगों को दरअसल किसी वाजिब चीज़ के लिए मना किया गया था। एक डॉक्टर ने खुराक पूछी, एक उपन्यासकार खलनायक लिख रहा था, एक सुरक्षा शोधकर्ता एक असली हमले का ज़िक्र कर रहा था, एक इतिहासकार एक असली पाठ उद्धृत कर रहा था। ऊपर दिया 0.38 अंक का उछाल सिर्फ क्लासिफायर का हिस्सा है; ट्रेंड आदत अपने आप भी मना करती है, और वह दर कोई प्रकाशित नहीं करता।
दो चीज़ें काम करती हैं और दोनों जेलब्रेक नहीं हैं। पहली है संदर्भ। इनकार मॉडल का अंदाज़ा है कि अनुरोध हानिकारक है, और आप कौन हैं और क्यों पूछ रहे हैं यह एक वाक्य अंदाज़ा बदल देता है: "मैं एक फार्मासिस्ट हूं और बच्चों की खुराक जांच रहा हूं" यह सादे सवाल से अलग इनपुट है। दूसरी है मॉडल। वेंडर अपनी सीमाएं अलग-अलग जगह खींचते हैं, और जिस अनुरोध को एक मॉडल मना कर देता है उसे अक्सर दूसरा मॉडल आम बात मानकर जवाब दे देता है। मल्टी-मॉडल वर्कस्पेस में यह सिर्फ पिकर बदलने की बात है, जिसकी कीमत दूसरे मॉडल के रेट जितनी है, Whizi AI के लिए 1 क्रेडिट या Claude Sonnet 5 के लिए 10, और AI मॉडल कैसे चुनें उन फर्कों को बताता है जो इनकार से आगे जाते हैं।
क्या काम नहीं करता, और Whizi किसमें मदद नहीं करेगा: वे प्रॉम्प्ट जो किसी प्रोवाइडर की पॉलिसी को हराने के लिए बनाए गए हों। Whizi पर हर मॉडल OpenRouter और उसके रूट किए प्रोवाइडर के ज़रिए सर्व होता है, इसलिए उस प्रोवाइडर की सेफ्टी परतें और यूसेज पॉलिसी हर संदेश पर लागू होती हैं, और जो जेलब्रेक काम कर जाए वह दोनों कंपनियों में एक पॉलिसी उल्लंघन है। जायज़ ज़रूरत, यानी किसी वाजिब सवाल का सीधा जवाब, सीधे पूछने से और, अगर मना हो जाए, तो अलग पॉलिसी वाले मॉडल से पूछने से पूरी हो जाती है।
जेलब्रेकिंग किस दिशा में जा रही है
प्रकाशित काम में तीन बदलाव पहले से दिख रहे हैं। क्लासिफायर परतें आम होती जा रही हैं, और उनकी गलत-इनकार दर वह आंकड़ा है जिस पर नज़र रखनी चाहिए, क्योंकि जो गार्ड एक फार्मासिस्ट को रोक दे, लोग उसके इर्द-गिर्द से रास्ता निकाल लेते हैं। ओपन-वेट मॉडल, जिन्हें ओपन-सोर्स LLM गाइड बताता है, उनकी इनकार ट्रेनिंग फाइन-ट्यूनिंग से हटाई जा सकती है, इसलिए ऐसे मॉडलों के लिए गार्डरेल वेट्स में नहीं, जहां वे होस्ट होते हैं वहां होता है। और एजेंट दांव बढ़ा देते हैं: एक जेलब्रोकन चैटबॉट कुछ गलत कह देता है, जबकि टूल वाला एक जेलब्रोकन एजेंट कुछ कर देता है, इसीलिए किसी काम से पहले की पुष्टि का कदम किसी भी इनकार से ज़्यादा मायने रखता है।
- इनकार को मंशा के बारे में मॉडल का अंदाज़ा मानें, और दोबारा कोशिश करने से पहले एक वाक्य में संदर्भ जोड़ें
- जब कोई मॉडल वाजिब अनुरोध मना कर दे, तो दूसरा मॉडल आज़माएं; वेंडर अपनी सीमा अलग-अलग जगह खींचते हैं
- वेंडर के सुरक्षा दावों को दरों के रूप में पढ़ें, और हमला-सफलता के आंकड़े के साथ गलत-इनकार का आंकड़ा भी देखें
- प्रकाशित जेलब्रेक प्रॉम्प्ट इस्तेमाल न करें; वे हफ्तों में पैच हो जाते हैं और हर प्रोवाइडर की शर्तों का उल्लंघन करते हैं
- जिसमें टूल जुड़े हों, वहां इनकार से ज़्यादा किसी काम से पहले की पुष्टि के कदम की परवाह करें
अक्सर पूछे जाने वाले सवाल
AI को जेलब्रेक करने का मतलब क्या है?
किसी मॉडल से ऐसा आउटपुट निकलवाना जिसे उसकी सेफ्टी ट्रेनिंग मना करने वाली थी, एक सोच-समझकर बनाए प्रॉम्प्ट से: एक रोल-प्ले किरदार, एक काल्पनिक फ्रेमिंग, एक एन्कोडेड अनुरोध, या सैकड़ों उदाहरण बातचीत। यह इसलिए चलता है क्योंकि इनकार एक ट्रेंड आदत है, कोई पक्का नियम नहीं, इसलिए जो प्रॉम्प्ट पालन को इनकार से ज़्यादा संभावित दिखाए वह निकल जाता है।
क्या AI जेलब्रेकिंग गैरकानूनी है?
यह हर बड़े प्रोवाइडर की यूसेज पॉलिसी का उल्लंघन है और अकाउंट बैन करा सकता है; यह गैरकानूनी है या नहीं यह इस पर निर्भर करता है कि आउटपुट का इस्तेमाल किस लिए हुआ और आप कहां हैं। वेंडर इसके लिए बग बाउंटी चलाते हैं, इसलिए जेलब्रेक ढूंढकर रिपोर्ट करना स्वागत योग्य है, जबकि उससे हानिकारक कंटेंट हासिल करना नहीं।
DAN जेलब्रेक क्या था?
DAN, "Do Anything Now", दिसंबर 2022 से Reddit पर फैला एक रोल-प्ले प्रॉम्प्ट था जो ChatGPT को बिना नियमों वाला किरदार निभाने को कहता था। यह इसलिए चला क्योंकि इनकार का व्यवहार असिस्टेंट के किरदार से जुड़ा था, और यह कुछ हफ्तों से महीनों में काम करना बंद कर गया जैसे-जैसे OpenAI मॉडल अपडेट करता। हर नए वर्शन में यही चक्र दोहराया गया।
AI गार्डरेल कितने असरदार हैं?
Anthropic के constitutional classifiers पेपर ने इसे नापा: बिना गार्ड वाले मॉडल पर 86 प्रतिशत ऑटोमेटेड जेलब्रेक कोशिशें कामयाब हुईं और इनपुट-आउटपुट जांचने वाले क्लासिफायर वाले मॉडल पर 4.4 प्रतिशत, हर क्वेरी पर 23.7 प्रतिशत ज़्यादा कंप्यूट और मासूम अनुरोधों के इनकार में 0.38 अंक की बढ़त पर। गार्डरेल दर घटाते हैं; कोई वेंडर शून्य का दावा नहीं करता।
जब AI किसी वाजिब अनुरोध को मना कर दे तो क्या करें?
संदर्भ जोड़ें, फिर मॉडल बदलें। आप कौन हैं और क्यों पूछ रहे हैं यह बताने वाला एक वाक्य मॉडल का मंशा पर अंदाज़ा बदल देता है। अगर फिर भी मना करे, तो अक्सर किसी दूसरे वेंडर का मॉडल जवाब दे देता है, क्योंकि हर कोई अपनी सीमा अलग तरह से खींचता है। Whizi में यह उसी बातचीत में एक मॉडल बदलाव भर है। प्रकाशित जेलब्रेक प्रॉम्प्ट जल्दी पैच हो जाते हैं और प्रोवाइडर की शर्तों का उल्लंघन करते हैं।
