Apa itu jailbreaking AI?

Penolakan adalah tabiat, dan jailbreak adalah cara untuk memecahkannya

Model tidak mengandungi peraturan yang berbunyi "jangan terangkan cara membuka kunci". Ia mengandungi tabiat menolak, yang dipasang semasa peringkat pasca-latihan yang diterangkan oleh apa itu fine-tuning dalam AI, di mana orang menilai penolakan terhadap permintaan berbahaya lebih tinggi daripada pematuhan sehingga menolak menjadi sambungan yang paling berkemungkinan bagi permintaan sedemikian. Berkemungkinan, bukan pasti.

Jailbreak ialah mana-mana prompt yang mengubah kebarangkalian itu. Bungkus permintaan itu dalam sebuah cerita dan sambungan yang paling berkemungkinan ialah baris seterusnya cerita itu. Pecahkannya kepada bahagian yang tidak berbahaya dan tiada satu bahagian pun mencetuskan tabiat itu. Kodkannya dalam base64 dan latihan penolakan, yang hanya melihat bahasa Inggeris biasa, tidak mengenalinya. Berikan model itu dua ratus contoh pembantu yang patuh dan permintaan ke-dua-ratus-satu akan dijawab dengan cara yang sama, sesuatu yang dinamakan Anthropic sebagai many-shot jailbreaking pada April 2024 dan menjadi lebih mudah apabila tetingkap konteks berkembang.

Mekanismenya sama seperti yang menjadikan model itu berguna. Ia mengikuti corak inputnya. Latihan keselamatan menjadikan sesetengah corak jauh lebih kurang berkemungkinan; jailbreak mencari corak yang tidak diliputi oleh latihan itu. Itulah sebabnya masalah ini tidak diselesaikan dengan peraturan yang lebih baik, dan sebabnya vendor mengukurnya sebagai satu kadar.

Teknik biasa, dan apa yang dieksploitasi oleh setiap satu

Prompt DAN yang tersebar di Reddit sejak Disember 2022 ialah versi rakyat, dan setiap versi berhenti berfungsi dalam masa beberapa minggu hingga bulan apabila OpenAI mengemas kini model itu, lalu versi seterusnya muncul. Setiap teknik yang dinamakan mengikuti kitaran itu: diterbitkan, kemudian ditampal. Anthropic menjalankan ganjaran bug berbayar untuk jailbreak sejagat terhadap pengelasnya, dan di situlah kerja yang berkekalan kini tertumpu.

Satu perbezaan yang perlu diingat. Jailbreak ialah pengguna menentang dasar model itu. Apa itu suntikan prompt ialah pihak ketiga menentang pengguna, melalui kandungan yang dibaca oleh model itu. Teknik-teknik itu bertindih; mangsanya tidak.

Apa yang sebenarnya dihalang oleh guardrail, diukur

Nombor awam terbaik datang daripada pengelas perlembagaan Anthropic, diterbitkan pada Februari 2025. Pasukan itu melatih model pengelas berasingan untuk menyaring input dan output di sekitar Claude, kemudian menjalankan serangan jailbreak automatik yang sama terhadap model itu dengan dan tanpa saringan tersebut.

Kos penurunan itu ialah separuh lagi keputusan tersebut. Pengelas itu menambah 23.7 peratus kepada pengkomputeran bagi setiap pertanyaan dan menaikkan penolakan permintaan yang tidak berbahaya sebanyak 0.38 mata peratusan. Sebelum ujian automatik itu, 183 orang menghabiskan lebih 3,000 jam dalam program ganjaran bug cuba mencari jailbreak sejagat, satu prompt yang membuka kesemua sepuluh soalan terlarang, dan tiada seorang pun berjaya. Satu cabaran awam kemudiannya menemui satu selepas seminggu. Kadar itu bukan sifar; intinya ialah ia beralih daripada kebanyakan percubaan berjaya kepada hanya sedikit.

Itulah maksud "guardrail" pada praktiknya: satu susunan kebarangkalian. Penolakan terlatih menangkap kebanyakannya. Pengelas menangkap sebahagian besar bakinya. Semakan manusia menangkap sebahagian daripada yang tinggal. Setiap lapisan mengenakan kos latensi atau wang atau penolakan silap, dan vendor memilih satu titik pada lengkung itu. Adakah AI selamat digunakan membincangkan apa maksud titik itu bagi risiko yang sebenarnya anda hadapi.

Kenapa anda mungkin cuma perlukan ayat semula, bukan jailbreak

Ramai orang yang mencari jailbreak sebenarnya baru sahaja ditolak sesuatu yang munasabah. Seorang doktor bertanya tentang dos ubat, seorang novelis menulis watak jahat, seorang penyelidik keselamatan menerangkan serangan sebenar, seorang ahli sejarah memetik teks sebenar. Kenaikan 0.38 mata di atas hanyalah bahagian pengelas itu; tabiat terlatih itu menolak dengan sendirinya, dan tiada siapa menerbitkan kadar itu.

Dua perkara berkesan dan tiada satu pun jailbreak. Pertama ialah konteks. Penolakan ialah tekaan model itu bahawa permintaan itu berbahaya, dan satu ayat tentang siapa anda dan sebab anda bertanya mengubah tekaan itu: "Saya seorang ahli farmasi menyemak dos pediatrik" ialah input yang berbeza daripada soalan kosong. Kedua ialah model itu sendiri. Vendor melukis garis panduan mereka di tempat yang berbeza, dan permintaan yang ditolak oleh satu model biasanya dijawab oleh model lain yang menganggapnya perkara biasa. Dalam ruang kerja pelbagai model, itu hanyalah pertukaran pemilih yang mengenakan kos tangga model kedua, 1 kredit untuk Whizi AI atau 10 untuk Claude Sonnet 5, dan cara memilih model AI membincangkan perbezaan yang melangkaui penolakan.

Apa yang tidak berkesan, dan apa yang Whizi tidak akan bantu: prompt yang direka untuk mengalahkan dasar penyedia. Setiap model di Whizi dihidangkan melalui OpenRouter dan penyedia yang dilalui, jadi lapisan keselamatan dan dasar penggunaan penyedia itu terpakai kepada setiap mesej, dan jailbreak yang berjaya adalah pelanggaran dasar di kedua-dua syarikat. Keperluan yang sah, iaitu jawapan jujur kepada soalan yang sah, dipenuhi dengan bertanya secara terus terang dan, jika ditolak, bertanya kepada model dengan dasar yang berbeza.

Ke mana halatuju jailbreaking

Tiga perubahan sudah kelihatan dalam kerja yang diterbitkan. Lapisan pengelas semakin menjadi standard, dan kadar penolakan silapnya ialah nombor yang perlu diperhatikan, kerana pengawal yang menyekat seorang ahli farmasi ialah pengawal yang orang akan cari jalan untuk mengelak. Model open-weight, yang dibincangkan oleh panduan LLM sumber terbuka, boleh mempunyai latihan penolakannya dibuang melalui fine-tuning, jadi bagi model tersebut guardrail berada di mana ia dihoskan, bukan dalam pemberatnya. Dan ejen meningkatkan taruhan: chatbot yang di-jailbreak mengatakan sesuatu yang sepatutnya tidak, manakala ejen yang di-jailbreak dengan alat melakukan sesuatu, itulah sebabnya langkah pengesahan sebelum satu tindakan lebih penting daripada mana-mana penolakan.