Hva betyr jailbreak innen AI?

Et avslag er en vane, og et jailbreak er en måte å bryte den på

En modell inneholder ikke en regel som sier "ikke forklar hvordan man dirker en lås". Den inneholder vanen med å avslå, installert under etterhåndstreningen som hva er finjustering av AI beskriver, der folk vurderte avslag på skadelige forespørsler høyere enn etterlevelse, helt til avslag ble den mest sannsynlige fortsettelsen på en slik forespørsel. Sannsynlig, ikke sikkert.

Et jailbreak er enhver prompt som endrer sannsynlighetene. Pakk forespørselen inn i en historie, og den mest sannsynlige fortsettelsen er neste linje i historien. Del den opp i uskyldige biter, og ingen bit utløser vanen. Kod den i base64, og avslagstreningen, som så vanlig engelsk, gjenkjenner den ikke. Gi modellen to hundre eksempler på at en assistent etterkommer, og den to hundre og første forespørselen blir besvart på samme måte, noe Anthropic kalte many-shot jailbreaking i april 2024, og som ble lettere etter hvert som kontekstvinduene vokste.

Mekanismen er den samme som gjør modellen nyttig. Den følger mønsteret i inndataene sine. Sikkerhetstreningen gjør enkelte mønstre langt mindre sannsynlige, og et jailbreak finner et mønster treningen ikke dekket. Det er derfor problemet ikke løses med en bedre regel, og derfor leverandørene måler det som en rate.

De vanlige teknikkene, og hva hver av dem utnytter

DAN-promptene som sirkulerte på Reddit fra desember 2022, er folkeversjonen, og hver versjon sluttet å fungere i løpet av uker til måneder etter hvert som OpenAI oppdaterte modellen, og neste versjon dukket opp. Hver navngitte teknikk følger den syklusen: publiseres, så lappes. Anthropic kjørte en betalt dusør for et universelt jailbreak mot klassifikatorene sine, som er der det varige arbeidet nå foregår.

Ett skille er verdt å beholde. Et jailbreak er brukeren mot modellens policy. Hva er prompt injection er en tredjepart mot brukeren, gjennom innhold modellen leser. Teknikkene overlapper, ofrene gjør det ikke.

Hva en sikkerhetssperre faktisk stopper, målt

Det beste offentlige tallet kommer fra Anthropics konstitusjonelle klassifikatorer, publisert i februar 2025. Teamet trente separate klassifikatormodeller til å sile inndata og utdata rundt Claude, og kjørte deretter de samme automatiserte jailbreak-angrepene mot modellen med og uten silen.

Kostnaden ved det fallet er den andre halvparten av resultatet. Klassifikatorene la til 23,7 prosent regnekraft per forespørsel og økte avslag på ufarlige forespørsler med 0,38 prosentpoeng. Før den automatiserte testen brukte 183 personer over 3000 timer i en dusørjakt på å finne et universelt jailbreak, én prompt som låste opp alle de ti forbudte spørsmålene, og ingen klarte det. En senere offentlig utfordring fant ett etter en uke. Raten er ikke null, poenget er at den gikk fra at de fleste forsøk lyktes til bare noen få.

Det er det "sikkerhetssperrer" betyr i praksis: en stabel av sannsynligheter. Den trente avslagsvanen fanger de fleste. En klassifikator fanger det meste av resten. Menneskelig gjennomgang fanger noe av det som er igjen. Hvert lag koster ventetid eller penger eller falske avslag, og leverandøren velger et punkt på den kurven. Er AI trygt å bruke dekker hva det punktet betyr for risikoene du faktisk står overfor.

Hvorfor du sannsynligvis ville ha en omformulering, ikke et jailbreak

Mange som søker etter et jailbreak, har bare fått avslag på noe rimelig. En lege spurte om en dosering, en forfatter skrev en skurk, en sikkerhetsforsker beskrev et faktisk angrep, en historiker siterte en ekte tekst. Økningen på 0,38 poeng over gjelder bare klassifikatorens andel. Den trente vanen avslår på egen hånd, og ingen publiserer den raten.

To ting fungerer, og ingen av dem er et jailbreak. Det første er kontekst. Et avslag er modellens gjetning om at forespørselen er skadelig, og en setning om hvem du er og hvorfor du spør, endrer gjetningen: "Jeg er farmasøyt og sjekker en pediatrisk dose" er en annen inndata enn det bare spørsmålet. Det andre er modellen. Leverandørene trekker grensene sine ulike steder, og en forespørsel én modell avslår, blir rutinemessig besvart av en annen som anser den som ordinær. I et flermodell-arbeidsområde er det et modellvalg som koster den andre modellens trinn, 1 kreditt for Whizi AI eller 10 for Claude Sonnet 5, og hvordan velge AI-modell dekker forskjellene som går utover avslag.

Det som ikke fungerer, og det Whizi ikke vil hjelpe med: prompter designet for å omgå en leverandørs policy. Hver modell på Whizi serveres gjennom OpenRouter og den rutede leverandøren, så den leverandørens sikkerhetslag og bruksvilkår gjelder for hver melding, og et jailbreak som fungerer, er et policybrudd hos begge selskaper. Det legitime behovet, et ærlig svar på et legitimt spørsmål, dekkes ved å spørre rett ut og, hvis avslått, spørre en modell med en annen policy.

Hvor jailbreaking er på vei

Tre skift er allerede synlige i det publiserte arbeidet. Klassifikatorlag blir standard, og den falske avslagsraten deres er tallet å følge med på, fordi en sperre som blokkerer en farmasøyt, er en sperre folk finner veier rundt. Åpne modeller, som guiden om åpen kildekode-LLM-er dekker, kan få avslagstreningen sin fjernet gjennom finjustering, så for disse modellene ligger sikkerhetssperren der de er hostet, ikke i vektene. Og agenter hever innsatsen: en jailbroken chatbot sier noe den ikke burde, mens en jailbroken agent med verktøy gjør noe, som er hvorfor bekreftelsestrinnet før en handling betyr mer enn noe avslag.