Odmowa to nawyk, a jailbreak to sposób, żeby go złamać
Model nie zawiera reguły mówiącej „nie wyjaśniaj, jak wytrychnąć zamek”. Zawiera nawyk odmawiania, zaszczepiony na etapie post-treningu, który opisuje czym jest fine-tuning w AI, gdzie ludzie oceniali odmowy na szkodliwe prośby wyżej niż uległość, aż odmowa stała się najbardziej prawdopodobną kontynuacją takiej prośby. Prawdopodobną, nie pewną.
Jailbreak to każdy prompt, który zmienia te prawdopodobieństwa. Owiń prośbę w historię, a najbardziej prawdopodobną kontynuacją stanie się kolejna linijka opowieści. Podziel ją na niewinne fragmenty i żaden fragment nie uruchomi nawyku. Zakoduj ją w base64, a trening odmowy, widziany na zwykłym angielskim, jej nie rozpozna. Daj modelowi dwieście przykładów, w których asystent jest uległy, a dwieście pierwszą prośbę spotka taka sama odpowiedź, co Anthropic nazwał w kwietniu 2024 jailbreakiem wieloprzykładowym (many-shot) i co stawało się łatwiejsze wraz ze wzrostem okien kontekstu.
Mechanizm jest ten sam, który czyni model użytecznym. Podąża on za wzorcem swojego wejścia. Trening bezpieczeństwa czyni pewne wzorce dużo mniej prawdopodobnymi; jailbreak znajduje wzorzec, którego trening nie objął. Dlatego problemu nie rozwiązuje lepsza reguła, i dlatego dostawcy mierzą go jako wskaźnik.
Popularne techniki i co każda z nich wykorzystuje
| Technika | Jak działa | Co wykorzystuje |
|---|---|---|
| Odgrywanie roli („jesteś DAN, Do Anything Now”) | Przypisuje modelowi personę bez żadnych zasad | Odmowy są powiązane z personą asystenta, a nie z bazowym predyktorem |
| Ramowanie hipotetyczne lub fikcyjne | „W powieści bohater wyjaśnia, jak...” | Fikcja to legalne zadanie, a trening nagradzał jego ukończenie |
| Kodowanie i zaciemnianie | Base64, szyfry, leetspeak, inny język | Trening odmowy odbywał się głównie w zwykłym angielskim |
| Wieloprzykładowy (many-shot) | Setki przykładowych wymian, w których asystent jest uległy | Model kontynuuje wzorzec swojego kontekstu |
| Stopniowa eskalacja | Długa rozmowa przesuwająca się o jeden krok naraz | Każdy krok jest bliski poprzedniemu; żadna pojedyncza wiadomość nie uruchamia nawyku |
| Wstrzyknięcie prompta w instrukcje | „Zignoruj poprzednie instrukcje” | Nakłada się na wstrzyknięcie (injection); celem są zasady aplikacji, a nie modelu |
Prompty DAN, które krążyły na Reddicie od grudnia 2022, to ludowa wersja tego zjawiska, a każda wersja przestawała działać w ciągu tygodni do miesięcy, gdy OpenAI aktualizowało model, po czym pojawiała się kolejna. Każda nazwana technika przechodzi ten sam cykl: publikacja, potem łatka. Anthropic prowadził płatny bug bounty za uniwersalny jailbreak przeciwko swoim klasyfikatorom, i to tam trafia dziś trwała praca.
Warto zachować jedno rozróżnienie. Jailbreak to użytkownik przeciwko polityce modelu. Czym jest prompt injection to strona trzecia przeciwko użytkownikowi, przez treść, którą czyta model. Techniki się pokrywają; ofiary nie.
Co faktycznie zatrzymuje zabezpieczenie, zmierzone
Najlepsza publiczna liczba pochodzi z konstytucyjnych klasyfikatorów Anthropic, opublikowanych w lutym 2025. Zespół wytrenował osobne modele klasyfikujące, które sprawdzają wejścia i wyjścia wokół Claude, a następnie uruchomił te same automatyczne ataki jailbreak na model z tym filtrem i bez niego.
Koszt tego spadku to druga połowa wyniku. Klasyfikatory dodały 23,7 procent do mocy obliczeniowej na zapytanie i podniosły odmowy nieszkodliwych próśb o 0,38 punktu procentowego. Przed automatycznym testem 183 osoby spędziły ponad 3000 godzin w programie bug bounty, próbując znaleźć uniwersalny jailbreak, jeden prompt odblokowujący wszystkie dziesięć zakazanych pytań, i nikomu się to nie udało. Późniejsze publiczne wyzwanie znalazło jeden po tygodniu. Wskaźnik nie jest zerowy; chodzi o to, że przesunął się z większości udanych prób do nielicznych.
To właśnie oznacza „zabezpieczenia” w praktyce: stos prawdopodobieństw. Wyuczona odmowa łapie większość. Klasyfikator łapie większość reszty. Ludzka weryfikacja łapie część tego, co zostało. Każda warstwa kosztuje opóźnienie, pieniądze lub fałszywe odmowy, a dostawca wybiera punkt na tej krzywej. Czy AI jest bezpieczne w użyciu opisuje, co ten punkt oznacza dla ryzyk, z którymi faktycznie się mierzysz.
Dlaczego prawdopodobnie chciałeś przeformułowania, a nie jailbreaku
Wiele osób szukających jailbreaku po prostu spotkało się z odmową na coś rozsądnego. Lekarz pytający o dawkowanie, pisarz tworzący złoczyńcę, badacz bezpieczeństwa opisujący prawdziwy atak, historyk cytujący prawdziwy tekst. Wspomniany wzrost o 0,38 punktu to tylko udział klasyfikatora; wyuczony nawyk odmawia sam z siebie, a nikt nie publikuje tego wskaźnika.
Działają dwie rzeczy i żadna z nich nie jest jailbreakiem. Pierwsza to kontekst. Odmowa to domysł modelu, że prośba jest szkodliwa, a zdanie o tym, kim jesteś i dlaczego pytasz, zmienia ten domysł: „jestem farmaceutą sprawdzającym dawkę pediatryczną” to inne wejście niż samo pytanie. Druga to model. Dostawcy wyznaczają swoje granice w różnych miejscach, a prośba, którą odrzuca jeden model, jest rutynowo spełniana przez inny, który uznaje ją za zwyczajną. W wielomodelowym środowisku pracy to zmiana modelu, która kosztuje stawkę drugiego modelu, 1 kredyt dla Whizi AI albo 10 dla Claude Sonnet 5, a jak wybrać model AI opisuje różnice wykraczające poza odmowy.
Czego nie robić i czego Whizi nie pomoże zrobić: prompty zaprojektowane, by obejść politykę dostawcy. Każdy model w Whizi jest udostępniany przez OpenRouter i routowanego dostawcę, więc warstwy bezpieczeństwa i polityka użytkowania tego dostawcy obowiązują przy każdej wiadomości, a jailbreak, który zadziała, jest naruszeniem zasad w obu firmach naraz. Uzasadniona potrzeba, szczera odpowiedź na uzasadnione pytanie, jest zaspokajana przez zapytanie wprost, a w razie odmowy, przez zapytanie modelu z inną polityką.
Dokąd zmierza jailbreaking
W opublikowanych pracach widoczne są już trzy zmiany. Warstwy klasyfikatorów stają się standardem, a wskaźnik fałszywych odmów to liczba, którą warto obserwować, bo zabezpieczenie blokujące farmaceutę to zabezpieczenie, które ludzie obchodzą. Modele o otwartych wagach, które opisuje przewodnik po otwartoźródłowych LLM, mogą mieć trening odmowy usunięty przez fine-tuning, więc dla tych modeli zabezpieczenie znajduje się tam, gdzie są hostowane, a nie w wagach. A agenci podnoszą stawkę: zjailbreakowany chatbot mówi coś, czego nie powinien, podczas gdy zjailbreakowany agent z narzędziami coś robi, dlatego krok potwierdzenia przed akcją liczy się bardziej niż jakakolwiek odmowa.
- Traktuj odmowę jako domysł modelu co do intencji i dodaj jedno zdanie kontekstu przed kolejną próbą
- Gdy model odrzuca rozsądną prośbę, zapytaj inny model; dostawcy wyznaczają granicę w różnych miejscach
- Czytaj deklaracje bezpieczeństwa dostawców jako wskaźniki i szukaj liczby fałszywych odmów obok liczby skutecznych ataków
- Nie używaj publikowanych promptów jailbreak; są łatane w ciągu tygodni i łamią regulamin każdego dostawcy
- Przy wszystkim z podłączonymi narzędziami zwracaj większą uwagę na krok potwierdzenia przed akcją niż na same odmowy
Najczęstsze pytania
Co znaczy zjailbreakować AI?
Nakłonienie modelu do wygenerowania odpowiedzi, jakiej jego trening bezpieczeństwa miał zabronić, za pomocą spreparowanego prompta: persony do odgrywania roli, fikcyjnego ramowania, zakodowanej prośby albo setek przykładowych wymian. Działa to, bo odmowa jest wyuczonym nawykiem, a nie sztywną regułą, więc prompt sprawiający, że uległość wygląda na bardziej prawdopodobną niż odmowa, przechodzi.
Czy jailbreak AI jest nielegalny?
Łamie regulamin użytkowania każdego głównego dostawcy i może skończyć się banem konta; to, czy jest nielegalny, zależy od tego, do czego wykorzystano wynik i gdzie się znajdujesz. Dostawcy prowadzą za to programy bug bounty, więc znalezienie jailbreaku i zgłoszenie go jest mile widziane, w przeciwieństwie do użycia go w celu uzyskania szkodliwych treści.
Czym był jailbreak DAN?
DAN, „Do Anything Now”, to prompt oparty na odgrywaniu roli, który krążył na Reddicie od grudnia 2022 i kazał ChatGPT wcielić się w personę bez żadnych zasad. Działał, bo zachowanie odmowy było powiązane z personą asystenta, i przestał działać w ciągu tygodni do miesięcy, gdy OpenAI aktualizowało model. Każda nowa wersja powtarzała ten cykl.
Jak skuteczne są zabezpieczenia AI?
Zmierzyła to praca Anthropic o konstytucyjnych klasyfikatorach: 86 procent automatycznych prób jailbreak zakończyło się sukcesem przeciwko gołemu modelowi i 4,4 procent przeciwko modelowi z klasyfikatorami sprawdzającymi wejścia i wyjścia, przy 23,7 procent większej mocy obliczeniowej na zapytanie i wzroście odmów nieszkodliwych próśb o 0,38 punktu. Zabezpieczenia obniżają wskaźnik; żaden dostawca nie deklaruje zera.
Co zrobić, gdy AI odmawia rozsądnej prośby?
Dodaj kontekst, a potem zmień model. Zdanie o tym, kim jesteś i dlaczego pytasz, zmienia domysł modelu co do intencji. Jeśli nadal odmawia, model innego dostawcy często odpowiada, bo każdy wyznacza swoją granicę inaczej. W Whizi to zmiana modelu w tej samej rozmowie. Publikowane prompty jailbreak są szybko łatane i łamią regulaminy dostawców.
