Jailbreak dell'IA: cos'è e come funziona

Un rifiuto è un'abitudine, e un jailbreak è un modo per romperla

Un modello non contiene una regola che dice "non spiegare come scassinare una serratura". Contiene l'abitudine di rifiutare, installata durante la fase di post-addestramento che cos'è il fine-tuning nell'IA descrive, dove le persone hanno valutato i rifiuti di richieste dannose sopra la conformità finché il rifiuto non è diventato la continuazione più probabile di tale richiesta. Probabile, non certa.

Un jailbreak è qualsiasi prompt che cambia le probabilità. Racchiudi la richiesta in una storia e la continuazione più probabile diventa la riga successiva della storia. Dividila in pezzi innocenti e nessun pezzo attiva l'abitudine. Codificala in base64 e l'addestramento al rifiuto, che ha visto solo inglese semplice, non la riconosce. Dai al modello duecento esempi di un assistente che si conforma e la duecentunesima richiesta ottiene la stessa risposta, cosa che Anthropic ha chiamato many-shot jailbreaking nell'aprile 2024 e che è diventata più facile man mano che le finestre di contesto sono cresciute.

Il meccanismo è lo stesso che rende il modello utile. Segue lo schema del suo input. L'addestramento alla sicurezza rende alcuni schemi molto meno probabili; un jailbreak trova uno schema che l'addestramento non ha coperto. Ecco perché il problema non si risolve con una regola migliore, e perché i fornitori lo misurano come un tasso.

Le tecniche comuni, e cosa sfrutta ciascuna

I prompt DAN circolati su Reddit da dicembre 2022 sono la versione popolare, e ogni versione ha smesso di funzionare entro settimane o mesi man mano che OpenAI aggiornava il modello, per poi essere sostituita dalla versione successiva. Ogni tecnica nota segue quel ciclo: pubblicata, poi corretta. Anthropic ha gestito una taglia a pagamento per un jailbreak universale contro i suoi classificatori, ed è lì che oggi va il lavoro più duraturo.

Una distinzione da tenere presente. Un jailbreak è l'utente contro la policy del modello. Cos'è il prompt injection è una terza parte contro l'utente, tramite contenuti che il modello legge. Le tecniche si sovrappongono; le vittime no.

Cosa ferma davvero un guardrail, misurato

Il miglior dato pubblico viene dai classificatori costituzionali di Anthropic, pubblicati nel febbraio 2025. Il team ha addestrato modelli classificatori separati per filtrare input e output attorno a Claude, poi ha eseguito gli stessi attacchi di jailbreak automatizzati contro il modello con e senza il filtro.

Il costo di quel calo è l'altra metà del risultato. I classificatori hanno aggiunto il 23,7 percento al calcolo per richiesta e hanno aumentato i rifiuti di richieste innocue di 0,38 punti percentuali. Prima del test automatizzato, 183 persone hanno passato oltre 3.000 ore in una bug bounty cercando di trovare un jailbreak universale, un prompt in grado di sbloccare tutte e dieci le domande vietate, e nessuno ci è riuscito. Una successiva sfida pubblica ne ha trovato uno dopo una settimana. Il tasso non è zero; il punto è che è passato dalla maggior parte dei tentativi riusciti a pochi.

Questo è ciò che "guardrail" significa in pratica: una pila di probabilità. Il rifiuto addestrato blocca la maggior parte. Un classificatore blocca la maggior parte di ciò che resta. Una revisione umana blocca parte del rimanente. Ogni livello costa latenza, denaro o rifiuti falsi, e il fornitore sceglie un punto su quella curva. L'IA è sicura da usare spiega cosa significa quel punto per i rischi che affronti davvero.

Perché probabilmente volevi una riformulazione, non un jailbreak

Molte persone che cercano un jailbreak hanno semplicemente ricevuto un rifiuto a qualcosa di ragionevole. Un medico che chiede su un dosaggio, un romanziere che scrive un cattivo, un ricercatore di sicurezza che descrive un attacco reale, uno storico che cita un testo reale. L'aumento di 0,38 punti sopra riguarda solo la quota del classificatore; l'abitudine addestrata rifiuta da sola, e nessuno pubblica quel tasso.

Due cose funzionano e nessuna delle due è un jailbreak. La prima è il contesto. Un rifiuto è la stima del modello secondo cui la richiesta è dannosa, e una frase su chi sei e perché la stai chiedendo cambia quella stima: "Sono un farmacista che verifica un dosaggio pediatrico" è un input diverso dalla domanda nuda. La seconda è il modello. I fornitori tracciano i loro confini in punti diversi, e una richiesta che un modello rifiuta viene spesso soddisfatta da un altro che la considera ordinaria. In uno spazio di lavoro multi-modello questo è un cambio di selettore che costa il gradino del secondo modello, 1 credito per Whizi AI o 10 per Claude Sonnet 5, e come scegliere un modello IA copre le differenze che vanno oltre i rifiuti.

Cosa non funziona, e con cosa Whizi non aiuterà: prompt progettati per aggirare la policy di un fornitore. Ogni modello su Whizi viene servito tramite OpenRouter e il fornitore instradato, quindi i livelli di sicurezza e la politica d'uso di quel fornitore si applicano a ogni messaggio, e un jailbreak che funziona è una violazione delle regole di entrambe le aziende. Il bisogno legittimo, una risposta franca a una domanda legittima, viene soddisfatto chiedendo chiaramente e, se rifiutati, chiedendo a un modello con una politica diversa.

Dove sta andando il jailbreaking

Tre cambiamenti sono già visibili nel lavoro pubblicato. I livelli di classificazione stanno diventando standard, e il loro tasso di falsi rifiuti è il numero da tenere d'occhio, perché un guardrail che blocca un farmacista è un guardrail che le persone aggirano. I modelli a pesi aperti, che la guida agli LLM open source tratta, possono avere l'addestramento al rifiuto rimosso tramite fine-tuning, quindi per quei modelli il guardrail sta ovunque siano ospitati e non nei pesi. E gli agenti alzano la posta: un chatbot con jailbreak dice qualcosa che non dovrebbe, mentre un agente con jailbreak dotato di strumenti fa qualcosa, motivo per cui il passaggio di conferma prima di un'azione conta più di qualsiasi rifiuto.