Wat is AI jailbreak?

Een weigering is een gewoonte, en een jailbreak breekt hem open

Een model bevat geen regel die zegt "leg niet uit hoe je een slot open peutert". Het bevat de gewoonte om te weigeren, aangebracht tijdens de post-trainingsfase die wat is fine-tuning bij AI beschrijft, waarbij mensen weigeringen van schadelijke verzoeken hoger beoordeelden dan meewerken, totdat weigeren het meest waarschijnlijke vervolg van zo'n verzoek werd. Waarschijnlijk, niet zeker.

Een jailbreak is elke prompt die de kansen verschuift. Verpak het verzoek in een verhaal en het meest waarschijnlijke vervolg is de volgende zin van het verhaal. Splits het op in onschuldige stukjes en geen enkel stukje activeert de gewoonte. Codeer het in base64 en de weigeringstraining, die platte Engelse tekst zag, herkent het niet. Geef het model tweehonderd voorbeelden van een assistent die meewerkt, en het tweehonderdeneerste verzoek wordt op dezelfde manier beantwoord, wat Anthropic in april 2024 many-shot jailbreaking noemde en wat makkelijker werd naarmate contextvensters groeiden.

Het mechanisme is hetzelfde als wat het model nuttig maakt. Het volgt het patroon van zijn input. Veiligheidstraining maakt sommige patronen veel minder waarschijnlijk; een jailbreak vindt een patroon dat de training niet dekte. Daarom lost een betere regel het probleem niet op, en daarom meten leveranciers het als een percentage.

De bekende technieken, en wat elk ervan uitbuit

De DAN-prompts die vanaf december 2022 op Reddit circuleerden zijn de volksversie, en elke versie werkte binnen weken tot maanden niet meer doordat OpenAI het model bijwerkte, waarna de volgende versie opdook. Elke bekende techniek volgt die cyclus: gepubliceerd, dan gepatcht. Anthropic voerde een betaalde beloning uit voor een universele jailbreak tegen zijn classifiers, en daar gaat het duurzame werk nu naartoe.

Eén onderscheid om te onthouden. Een jailbreak is de gebruiker tegen het beleid van het model. Wat is prompt injection is een derde partij tegen de gebruiker, via content die het model leest. De technieken overlappen; de slachtoffers niet.

Wat een guardrail werkelijk tegenhoudt, gemeten

Het beste openbare cijfer komt van Anthropics constitutional classifiers, gepubliceerd in februari 2025. Het team trainde aparte classifier-modellen om input en output rond Claude te screenen, en voerde vervolgens dezelfde geautomatiseerde jailbreak-aanvallen uit tegen het model met en zonder die screening.

De prijs van die daling is de andere helft van het resultaat. De classifiers voegden 23,7 procent toe aan de rekenkracht per query en verhoogden weigeringen van onschadelijke verzoeken met 0,38 procentpunt. Vóór de geautomatiseerde test besteedden 183 mensen meer dan 3.000 uur aan een bug bounty om een universele jailbreak te vinden, één prompt die alle tien verboden vragen ontgrendelde, en niemand lukte het. Een latere openbare uitdaging vond er wel een, na een week. Het percentage is niet nul; het punt is dat het verschoof van de meeste pogingen die slaagden naar enkele.

Dat is wat "guardrails" in de praktijk betekent: een stapeling van kansen. De aangeleerde weigering vangt de meeste op. Een classifier vangt het meeste van de rest op. Menselijke review vangt een deel van wat overblijft. Elke laag kost latency of geld of onterechte weigeringen, en de leverancier kiest een punt op die curve. Is AI veilig om te gebruiken behandelt wat dat punt betekent voor de risico's die je echt loopt.

Waarom je waarschijnlijk een herformulering wilde, geen jailbreak

Veel mensen die naar een jailbreak zoeken, kregen gewoon een redelijk verzoek geweigerd. Een arts die naar een dosering vroeg, een romanschrijver die een schurk uitwerkt, een beveiligingsonderzoeker die een echte aanval beschrijft, een historicus die een echte tekst citeert. De stijging van 0,38 punt hierboven is alleen het aandeel van de classifier; de aangeleerde gewoonte weigert op zichzelf al, en dat percentage publiceert niemand.

Twee dingen werken en geen van beide is een jailbreak. Het eerste is context. Een weigering is de gok van het model dat het verzoek schadelijk is, en een zin over wie je bent en waarom je het vraagt, verandert die gok: "ik ben apotheker en controleer een pediatrische dosis" is een andere input dan de kale vraag. Het tweede is het model. Leveranciers trekken hun grenzen op verschillende plekken, en een verzoek dat het ene model weigert, wordt door een ander routinematig als gewoon behandeld. In een multi-model werkruimte is dat een modelwissel die de rang van het tweede model kost, 1 credit voor Whizi AI of 10 voor Claude Sonnet 5, en hoe kies je een AI-model behandelt de verschillen die verder gaan dan weigeringen.

Wat niet werkt, en waar Whizi niet bij helpt: prompts die zijn opgezet om het beleid van een provider te omzeilen. Elk model op Whizi wordt geleverd via OpenRouter en de aangesloten provider, dus de veiligheidslagen en het gebruiksbeleid van die provider gelden voor elk bericht, en een jailbreak die werkt, is een beleidsschending bij beide bedrijven. De legitieme behoefte, een eerlijk antwoord op een legitieme vraag, wordt vervuld door gewoon te vragen en, bij weigering, een model met een ander beleid te vragen.

Waar jailbreak naartoe gaat

Drie verschuivingen zijn al zichtbaar in het gepubliceerde werk. Classifier-lagen worden standaard, en hun percentage onterechte weigeringen is het cijfer om te volgen, want een beveiliging die een apotheker blokkeert, is een beveiliging waar mensen omheen gaan. Open-weight modellen, die de gids voor open source LLM's behandelt, kunnen hun weigeringstraining via fine-tuning laten verwijderen, dus voor die modellen zit de guardrail waar ze gehost worden en niet in de gewichten. En agents verhogen de inzet: een gejailbreakte chatbot zegt iets wat het niet zou moeten, terwijl een gejailbreakte agent met tools iets doet, wat is waarom de bevestigingsstap voor een actie meer telt dan welke weigering dan ook.