Apa itu jailbreak AI?

Penolakan adalah kebiasaan, dan jailbreak adalah cara mematahkannya

Model tidak menyimpan aturan yang berbunyi "jangan jelaskan cara membobol kunci". Yang ada adalah kebiasaan menolak, yang ditanamkan selama tahap pasca-pelatihan seperti dijelaskan di apa itu fine-tuning dalam AI, tempat orang menilai penolakan atas permintaan berbahaya lebih tinggi daripada kepatuhan, sampai menolak menjadi lanjutan paling mungkin atas permintaan semacam itu. Mungkin, bukan pasti.

Jailbreak adalah prompt apa pun yang mengubah probabilitas itu. Bungkus permintaan dalam sebuah cerita, dan lanjutan paling mungkin adalah baris berikutnya dari cerita itu. Pecah menjadi bagian-bagian yang tampak tidak berbahaya, dan tidak ada bagian yang memicu kebiasaan itu. Enkode dalam base64, dan pelatihan penolakan, yang hanya melihat bahasa Inggris biasa, tidak mengenalinya. Beri model dua ratus contoh asisten yang menuruti, dan permintaan ke-201 dijawab dengan cara serupa, yang oleh Anthropic disebut many-shot jailbreaking pada April 2024 dan semakin mudah seiring membesarnya context window.

Mekanismenya sama dengan yang membuat model berguna. Model mengikuti pola inputnya. Pelatihan keamanan membuat sebagian pola jauh lebih kecil kemungkinannya; jailbreak menemukan pola yang tidak tercakup pelatihan itu. Karena itu masalah ini tidak selesai dengan aturan yang lebih baik, dan karena itu pula vendor mengukurnya sebagai sebuah tingkat keberhasilan.

Teknik-teknik umum, dan apa yang dieksploitasi masing-masing

Prompt DAN yang beredar di Reddit sejak Desember 2022 adalah versi rakyatnya, dan setiap versi berhenti bekerja dalam hitungan minggu sampai bulan begitu OpenAI memperbarui modelnya, lalu versi berikutnya muncul. Setiap teknik yang bernama mengikuti siklus itu: dipublikasikan, lalu ditambal. Anthropic menjalankan bug bounty berbayar untuk jailbreak universal terhadap classifier-nya, dan di situlah kini kerja yang bertahan lama berlangsung.

Satu pembeda yang perlu diingat. Jailbreak adalah pengguna melawan kebijakan model. Apa itu prompt injection adalah pihak ketiga melawan pengguna, lewat konten yang dibaca model. Tekniknya tumpang tindih; korbannya tidak.

Apa yang sebenarnya dihentikan guardrail, terukur

Angka publik terbaik berasal dari constitutional classifiers milik Anthropic, dipublikasikan Februari 2025. Tim melatih model classifier terpisah untuk menyaring input dan output di sekitar Claude, lalu menjalankan serangan jailbreak otomatis yang sama terhadap model dengan dan tanpa penyaring itu.

Biaya dari penurunan itu adalah separuh hasil lainnya. Classifier menambah 23,7 persen komputasi per query dan menaikkan penolakan atas permintaan tidak berbahaya sebesar 0,38 poin persentase. Sebelum uji otomatis itu, 183 orang menghabiskan lebih dari 3.000 jam dalam bug bounty mencoba menemukan jailbreak universal, satu prompt yang membuka kesepuluh pertanyaan terlarang, dan tidak ada yang berhasil. Tantangan publik berikutnya menemukan satu setelah seminggu. Tingkat keberhasilannya bukan nol; intinya, tingkat itu bergeser dari kebanyakan upaya berhasil menjadi hanya sedikit.

Itulah arti "guardrail" dalam praktiknya: tumpukan probabilitas. Penolakan hasil pelatihan menangkap sebagian besar. Classifier menangkap sebagian besar sisanya. Tinjauan manusia menangkap sebagian dari yang tersisa. Setiap lapisan memakan biaya berupa latensi, uang, atau penolakan keliru, dan vendor memilih titik pada kurva itu. Apakah AI aman digunakan membahas arti titik itu bagi risiko yang benar-benar Anda hadapi.

Kenapa Anda mungkin sebenarnya cuma butuh tulis ulang, bukan jailbreak

Banyak orang yang mencari jailbreak sebenarnya baru saja ditolak untuk sesuatu yang wajar. Seorang dokter bertanya soal dosis, seorang novelis menulis tokoh antagonis, seorang peneliti keamanan menjelaskan serangan nyata, seorang sejarawan mengutip teks asli. Kenaikan 0,38 poin di atas hanyalah kontribusi classifier saja; kebiasaan hasil pelatihan menolak dengan sendirinya, dan tidak ada yang mempublikasikan angka itu.

Dua hal yang berhasil dan tidak satu pun jailbreak. Pertama adalah konteks. Penolakan adalah tebakan model bahwa permintaan itu berbahaya, dan satu kalimat tentang siapa Anda dan mengapa Anda bertanya mengubah tebakan itu: "Saya seorang apoteker yang mengecek dosis anak" adalah input yang berbeda dari pertanyaan telanjang. Kedua adalah modelnya. Vendor menarik garis batas di tempat berbeda-beda, dan permintaan yang ditolak satu model rutin dijawab oleh model lain yang menganggapnya biasa saja. Di workspace multi-model, itu cuma soal ganti pilihan model dengan biaya sesuai tingkat model kedua, 1 kredit untuk Whizi AI atau 10 untuk Claude Sonnet 5, dan cara memilih model AI membahas perbedaan yang melampaui soal penolakan.

Yang tidak berhasil, dan yang tidak akan dibantu Whizi: prompt yang dirancang untuk mengalahkan kebijakan penyedia. Setiap model di Whizi dilayani lewat OpenRouter dan penyedia yang meneruskannya, jadi lapisan keamanan dan kebijakan penggunaan penyedia itu berlaku untuk setiap pesan, dan jailbreak yang berhasil adalah pelanggaran kebijakan di kedua perusahaan sekaligus. Kebutuhan yang sah, jawaban jujur atas pertanyaan yang sah, terpenuhi dengan bertanya secara terus terang dan, bila ditolak, bertanya ke model dengan kebijakan berbeda.

Ke mana arah jailbreaking selanjutnya

Tiga pergeseran sudah terlihat dalam karya yang dipublikasikan. Lapisan classifier menjadi standar, dan tingkat penolakan kelirunya adalah angka yang perlu diawasi, karena guardrail yang memblokir seorang apoteker adalah guardrail yang orang cari jalan memutarnya. Model open-weight, yang dibahas di panduan LLM open-source, bisa dihilangkan pelatihan penolakannya lewat fine-tuning, jadi untuk model semacam itu guardrail-nya ada di tempat model itu dihosting, bukan di bobotnya. Dan agen menaikkan taruhannya: chatbot yang di-jailbreak mengatakan sesuatu yang seharusnya tidak, sementara agen yang di-jailbreak dengan alat melakukan sesuatu, itulah kenapa langkah konfirmasi sebelum sebuah tindakan lebih penting daripada penolakan apa pun.