Uma recusa é um hábito, e um jailbreak é uma forma de quebrá-lo
Um modelo não contém uma regra que diga "não explique como arrombar uma fechadura". Ele contém o hábito de recusar, instalado durante a etapa de pós-treinamento que o que é fine-tuning em IA descreve, na qual pessoas avaliaram recusas a pedidos nocivos acima da obediência até que recusar se tornasse a continuação mais provável para tal pedido. Provável, não certa.
Um jailbreak é qualquer prompt que muda essas probabilidades. Envolva o pedido em uma história e a continuação mais provável é a próxima linha da história. Divida-o em pedaços inocentes e nenhum pedaço aciona o hábito. Codifique-o em base64 e o treinamento de recusa, que viu inglês simples, não reconhece o pedido. Dê ao modelo duzentos exemplos de um assistente obedecendo e o pedido de número duzentos e um é atendido do mesmo jeito, o que a Anthropic chamou de many-shot jailbreaking em abril de 2024 e que ficou mais fácil conforme as janelas de contexto cresceram.
O mecanismo é o mesmo que torna o modelo útil. Ele segue o padrão da sua entrada. O treinamento de segurança torna alguns padrões muito menos prováveis; um jailbreak encontra um padrão que o treinamento não cobriu. É por isso que o problema não se resolve com uma regra melhor, e por isso os fornecedores o medem como uma taxa.
As técnicas comuns, e o que cada uma explora
| Técnica | Como funciona | O que explora |
|---|---|---|
| Role-play ("você é o DAN, Do Anything Now") | Atribui ao modelo uma persona sem regras | As recusas estão ligadas à persona do assistente, não ao preditor subjacente |
| Enquadramento hipotético ou ficcional | "Em um romance, um personagem explica como..." | Ficção é uma tarefa legítima, e o treinamento recompensava completá-la |
| Codificação e ofuscação | Base64, cifras, leetspeak, outro idioma | O treinamento de recusa foi majoritariamente em inglês simples |
| Many-shot | Centenas de trocas de exemplo em que o assistente obedece | O modelo continua o padrão do seu contexto |
| Escalada gradual | Uma conversa longa que avança um passo de cada vez | Cada passo está próximo do anterior; nenhuma mensagem isolada aciona o hábito |
| Prompt injection nas instruções | "Ignore as instruções anteriores" | Sobrepõe-se à injeção; o alvo são as regras do aplicativo, não do modelo |
Os prompts DAN que circularam no Reddit a partir de dezembro de 2022 são a versão popular, e cada versão parava de funcionar em semanas ou meses conforme a OpenAI atualizava o modelo, surgindo a versão seguinte. Toda técnica batizada segue esse ciclo: publicada, depois corrigida. A Anthropic promoveu uma recompensa paga por um jailbreak universal contra seus classificadores, para onde vai agora o trabalho duradouro.
Uma distinção a manter. Um jailbreak é o usuário contra a política do modelo. O que é prompt injection é um terceiro contra o usuário, por meio de conteúdo que o modelo lê. As técnicas se sobrepõem; as vítimas não.
O que uma barreira realmente impede, medido
O melhor número público vem dos classificadores constitucionais da Anthropic, publicados em fevereiro de 2025. A equipe treinou modelos classificadores separados para filtrar entradas e saídas ao redor do Claude, depois rodou os mesmos ataques automatizados de jailbreak contra o modelo com e sem o filtro.
O custo dessa queda é a outra metade do resultado. Os classificadores adicionaram 23,7 por cento ao processamento por consulta e elevaram as recusas a pedidos inofensivos em 0,38 ponto percentual. Antes do teste automatizado, 183 pessoas passaram mais de 3.000 horas em um programa de recompensas tentando encontrar um jailbreak universal, um único prompt que destravasse as dez perguntas proibidas, e nenhuma conseguiu. Um desafio público posterior encontrou um depois de uma semana. A taxa não é zero; o ponto é que ela passou de a maioria das tentativas dando certo para apenas algumas.
É isso que "barreiras" significa na prática: uma pilha de probabilidades. O hábito treinado de recusa pega a maioria. Um classificador pega a maior parte do que sobra. Uma revisão humana pega parte do restante. Cada camada custa latência, dinheiro ou recusas falsas, e o fornecedor escolhe um ponto nessa curva. A IA é segura de usar explica o que esse ponto significa para os riscos que você realmente enfrenta.
Por que você provavelmente queria uma reformulação, não um jailbreak
Muitas pessoas que buscam um jailbreak apenas receberam uma recusa a algo razoável. Um médico perguntando sobre uma dosagem, um romancista escrevendo um vilão, um pesquisador de segurança descrevendo um ataque real, um historiador citando um texto real. O aumento de 0,38 ponto acima é só a parcela do classificador; o hábito treinado recusa sozinho, e ninguém publica essa taxa.
Duas coisas funcionam, e nenhuma delas é jailbreak. A primeira é contexto. Uma recusa é o palpite do modelo de que o pedido é nocivo, e uma frase sobre quem você é e por que está perguntando muda esse palpite: "sou farmacêutico verificando uma dose pediátrica" é uma entrada diferente da pergunta nua. A segunda é o modelo. Os fornecedores traçam seus limites em lugares diferentes, e um pedido que um modelo recusa é normalmente respondido por outro que o considera comum. Em um workspace multimodelo, isso é uma troca no seletor que custa o degrau do segundo modelo, 1 crédito para o Whizi AI ou 10 para o Claude Sonnet 5, e como escolher um modelo de IA trata das diferenças que vão além das recusas.
O que não funciona, e com o que o Whizi não vai ajudar: prompts feitos para driblar a política de um provedor. Todo modelo no Whizi é servido via OpenRouter e pelo provedor roteado, então as camadas de segurança e a política de uso desse provedor valem para toda mensagem, e um jailbreak que funciona é uma violação de política nas duas empresas. A necessidade legítima, uma resposta franca a uma pergunta legítima, é atendida perguntando com clareza e, se recusado, perguntando a um modelo com outra política.
Para onde vai o jailbreaking
Três mudanças já são visíveis nos trabalhos publicados. As camadas de classificadores estão virando padrão, e a taxa de recusa falsa delas é o número a observar, porque uma barreira que bloqueia um farmacêutico é uma barreira que as pessoas contornam. Modelos de peso aberto, que o guia de LLMs de código aberto cobre, podem ter seu treinamento de recusa removido por fine-tuning, então nesses modelos a barreira fica onde eles estão hospedados, não nos pesos. E agentes elevam a aposta: um chatbot com jailbreak diz algo que não deveria, enquanto um agente com jailbreak e ferramentas faz algo, e é por isso que a etapa de confirmação antes de uma ação importa mais do que qualquer recusa.
- Trate uma recusa como o palpite do modelo sobre a intenção, e acrescente uma frase de contexto antes de tentar de novo
- Quando um modelo recusa um pedido razoável, pergunte a outro modelo; os fornecedores traçam o limite em lugares diferentes
- Leia as alegações de segurança dos fornecedores como taxas, e procure o número de recusa falsa ao lado do número de sucesso de ataque
- Não use prompts de jailbreak publicados; eles são corrigidos em semanas e violam os termos de todo provedor
- Para qualquer coisa com ferramentas conectadas, dê mais importância à etapa de confirmação antes de uma ação do que às recusas
Perguntas frequentes
O que significa fazer jailbreak em uma IA?
Conseguir que um modelo produza uma saída que seu treinamento de segurança deveria recusar, usando um prompt elaborado: uma persona de role-play, um enquadramento ficcional, um pedido codificado ou centenas de trocas de exemplo. Funciona porque a recusa é um hábito treinado, não uma regra rígida, então um prompt que faz a obediência parecer mais provável que a recusa passa.
Fazer jailbreak em IA é ilegal?
Viola a política de uso de todo grande provedor e pode banir uma conta; se é ilegal depende do uso dado à saída e de onde você está. Os fornecedores mantêm programas de recompensa para isso, então encontrar um jailbreak e reportá-lo é bem-vindo, enquanto usá-lo para obter conteúdo nocivo não é.
O que foi o jailbreak DAN?
DAN, "Do Anything Now", foi um prompt de role-play que circulou no Reddit a partir de dezembro de 2022, dizendo ao ChatGPT para agir como uma persona sem regras. Funcionou porque o comportamento de recusa estava ligado à persona do assistente, e parou de funcionar em semanas ou meses conforme a OpenAI atualizava o modelo. Cada nova versão repetia o ciclo.
Quão eficazes são as barreiras de segurança da IA?
O artigo dos classificadores constitucionais da Anthropic mediu isso: 86 por cento das tentativas automatizadas de jailbreak tiveram sucesso contra o modelo puro e 4,4 por cento contra o modelo com classificadores filtrando entradas e saídas, com 23,7 por cento mais processamento por consulta e um aumento de 0,38 ponto nas recusas a pedidos inofensivos. As barreiras reduzem a taxa; nenhum fornecedor alega zero.
O que devo fazer quando uma IA recusa um pedido razoável?
Adicione contexto, depois troque de modelo. Uma frase dizendo quem você é e por que está perguntando muda o palpite do modelo sobre a intenção. Se ainda assim recusar, o modelo de outro fornecedor costuma responder, porque cada um traça seu limite de forma diferente. No Whizi isso é uma troca de modelo na mesma conversa. Prompts de jailbreak publicados são corrigidos rapidamente e violam os termos do provedor.
