Un refuz este un obicei, iar un jailbreak este un mod de a-l rupe
Un model nu conține o regulă care spune „nu explica cum se sparge o încuietoare”. El conține obiceiul de a refuza, instalat în etapa de post-antrenament pe care ce este fine-tuning la IA o descrie, în care oamenii au notat refuzurile cererilor dăunătoare mai sus decât conformarea, până când refuzul a devenit continuarea cea mai probabilă a unei astfel de cereri. Probabilă, nu certă.
Un jailbreak este orice prompt care schimbă probabilitățile. Împachetezi cererea într-o poveste și continuarea cea mai probabilă devine următoarea replică a poveștii. O împarți în bucăți nevinovate și nicio bucată nu declanșează obiceiul. O codifici în base64 și antrenamentul de refuz, care a văzut engleză simplă, nu o recunoaște. Dai modelului două sute de exemple în care asistentul se conformează și a doua sută unu cerere primește răspuns pe măsură, ceea ce Anthropic a numit many-shot jailbreaking în aprilie 2024 și care a devenit mai ușor pe măsură ce ferestrele de context au crescut.
Mecanismul este același care face modelul util. El urmează tiparul intrării sale. Antrenamentul de siguranță face ca unele tipare să fie mult mai puțin probabile; un jailbreak găsește un tipar pe care antrenamentul nu l-a acoperit. De aceea problema nu se rezolvă printr-o regulă mai bună, și de aceea furnizorii o măsoară ca pe o rată.
Tehnicile comune și ce exploatează fiecare
| Tehnică | Cum funcționează | Ce exploatează |
|---|---|---|
| Joc de rol ("you are DAN, Do Anything Now") | Atribuie modelului o persona fără reguli | Refuzurile sunt legate de persona asistentului, nu de predictorul de bază |
| Formulare ipotetică sau ficțională | "Într-un roman, un personaj explică cum să..." | Ficțiunea este o sarcină legitimă, iar antrenamentul a răsplătit finalizarea ei |
| Codificare și obfuscare | Base64, cifruri, leetspeak, altă limbă | Antrenamentul de refuz a fost mai ales în engleză simplă |
| Many-shot | Sute de schimburi exemplu în care asistentul se conformează | Modelul continuă tiparul contextului său |
| Escaladare treptată | O conversație lungă care avansează câte un pas | Fiecare pas e apropiat de precedentul; niciun mesaj singur nu declanșează obiceiul |
| Injecție de prompt în instrucțiuni | "Ignoră instrucțiunile anterioare" | Se suprapune cu injecția; ținta sunt regulile aplicației, nu ale modelului |
Prompturile DAN care au circulat pe Reddit din decembrie 2022 sunt varianta populară, iar fiecare versiune a încetat să funcționeze în câteva săptămâni până la câteva luni, pe măsură ce OpenAI actualiza modelul, iar apoi apărea versiunea următoare. Fiecare tehnică denumită urmează acest ciclu: publicată, apoi corectată. Anthropic a organizat o recompensă plătită pentru un jailbreak universal împotriva clasificatoarelor sale, acolo unde se duce acum munca de durată.
O distincție de reținut. Un jailbreak este utilizatorul împotriva politicii modelului. Ce este injecția de prompt este o terță parte împotriva utilizatorului, prin conținut pe care modelul îl citește. Tehnicile se suprapun; victimele nu.
Ce oprește de fapt o barieră de siguranță, măsurat
Cea mai bună cifră publică vine de la clasificatoarele constituționale ale Anthropic, publicate în februarie 2025. Echipa a antrenat modele clasificatoare separate pentru a filtra intrările și ieșirile din jurul Claude, apoi a rulat aceleași atacuri automate de jailbreak împotriva modelului, cu și fără filtru.
Costul acestei scăderi este cealaltă jumătate a rezultatului. Clasificatoarele au adăugat 23,7 procente la puterea de calcul per interogare și au crescut refuzurile cererilor inofensive cu 0,38 puncte procentuale. Înainte de testul automat, 183 de persoane au petrecut peste 3.000 de ore într-o recompensă de securitate încercând să găsească un jailbreak universal, un singur prompt care să deblocheze toate cele zece întrebări interzise, și niciuna nu a reușit. O provocare publică ulterioară a găsit unul după o săptămână. Rata nu este zero; ideea este că a trecut de la majoritatea încercărilor reușite la puține.
Asta înseamnă „bariere de siguranță” în practică: un stivă de probabilități. Refuzul antrenat prinde majoritatea. Un clasificator prinde majoritatea din ce rămâne. O revizuire umană prinde o parte din rest. Fiecare strat costă latență, bani sau refuzuri false, iar furnizorul alege un punct pe acea curbă. Este IA sigură de folosit acoperă ce înseamnă acel punct pentru riscurile cu care te confrunți de fapt.
De ce probabil ai vrut o reformulare, nu un jailbreak
Mulți dintre cei care caută un jailbreak au fost pur și simplu refuzați la ceva rezonabil. Un medic care întreabă despre o doză, un romancier care scrie un antagonist, un cercetător în securitate care descrie un atac real, un istoric care citează un text real. Creșterea de 0,38 puncte de mai sus este doar contribuția clasificatorului; obiceiul antrenat refuză de la sine, iar nimeni nu publică acea rată.
Două lucruri funcționează și niciunul nu este un jailbreak. Primul este contextul. Un refuz este presupunerea modelului că cererea este dăunătoare, iar o propoziție despre cine ești și de ce întrebi schimbă presupunerea: „Sunt farmacist și verific o doză pediatrică” este o intrare diferită față de întrebarea goală. Al doilea este modelul. Furnizorii trasează liniile în locuri diferite, iar o cerere pe care un model o refuză este de regulă răspunsă de altul care o consideră obișnuită. Într-un spațiu de lucru cu mai multe modele, asta înseamnă o schimbare din selector care costă treapta celui de-al doilea model, 1 credit pentru Whizi AI sau 10 pentru Claude Sonnet 5, iar cum alegi un model de IA acoperă diferențele care depășesc refuzurile.
Ce nu funcționează, și cu ce Whizi nu te va ajuta: prompturi concepute pentru a învinge politica unui furnizor. Fiecare model de pe Whizi este servit prin OpenRouter și furnizorul rutat, deci straturile de siguranță și politica de utilizare ale acelui furnizor se aplică fiecărui mesaj, iar un jailbreak care funcționează este o încălcare a politicii la ambele companii. Nevoia legitimă, un răspuns sincer la o întrebare legitimă, este satisfăcută întrebând direct și, dacă ești refuzat, întrebând un model cu o politică diferită.
Încotro se îndreaptă jailbreaking-ul
Trei schimbări sunt deja vizibile în lucrările publicate. Straturile de clasificatoare devin standard, iar rata lor de refuz fals este cifra de urmărit, pentru că o barieră care blochează un farmacist este o barieră pe care oamenii o ocolesc. Modelele cu greutăți deschise, pe care ghidul LLM-urilor open-source le acoperă, pot avea antrenamentul de refuz eliminat prin fine-tuning, deci pentru acele modele bariera de siguranță se află oriunde sunt găzduite, nu în greutăți. Iar agenții ridică miza: un chatbot cu jailbreak spune ceva ce nu ar trebui, în timp ce un agent cu jailbreak și cu unelte face ceva, motiv pentru care pasul de confirmare înainte de o acțiune contează mai mult decât orice refuz.
- Tratează un refuz ca pe presupunerea modelului despre intenție și adaugă o propoziție de context înainte să încerci din nou
- Când un model refuză o cerere rezonabilă, întreabă alt model; furnizorii trasează linia în locuri diferite
- Citește afirmațiile de siguranță ale furnizorilor ca pe rate și caută cifra refuzurilor false lângă cea a atacurilor reușite
- Nu folosi prompturi de jailbreak publicate; sunt corectate în câteva săptămâni și încalcă termenii fiecărui furnizor
- Pentru orice are unelte atașate, contează mai mult pasul de confirmare înainte de o acțiune decât refuzurile
Întrebări frecvente
Ce înseamnă jailbreak la o IA?
Determinarea unui model să producă un răspuns pe care antrenamentul său de siguranță ar trebui să îl refuze, folosind un prompt construit special: o persona de joc de rol, o formulare ficțională, o cerere codificată sau sute de schimburi exemplu. Funcționează pentru că refuzul este un obicei antrenat, nu o regulă fixă, așa că un prompt care face conformarea să pară mai probabilă decât refuzul trece.
Este ilegal jailbreak-ul la IA?
Încalcă politica de utilizare a fiecărui furnizor important și poate duce la interzicerea contului; dacă e ilegal depinde de utilizarea rezultatului și de locul unde te afli. Furnizorii organizează recompense de securitate pentru asta, deci găsirea unui jailbreak și raportarea lui sunt binevenite, în timp ce folosirea unuia pentru a obține conținut dăunător nu este.
Ce a fost jailbreak-ul DAN?
DAN, „Do Anything Now”, a fost un prompt de joc de rol care a circulat pe Reddit din decembrie 2022 și îi spunea ChatGPT să se comporte ca o persona fără reguli. A funcționat pentru că comportamentul de refuz era legat de persona asistentului și a încetat să funcționeze în câteva săptămâni până la câteva luni, pe măsură ce OpenAI actualiza modelul. Fiecare versiune nouă a repetat ciclul.
Cât de eficiente sunt barierele de siguranță ale IA?
Studiul Anthropic despre clasificatoarele constituționale a măsurat asta: 86 la sută din încercările automate de jailbreak au reușit împotriva modelului simplu și 4,4 la sută împotriva modelului cu clasificatoare care filtrau intrările și ieșirile, cu 23,7 procente mai multă putere de calcul per interogare și o creștere de 0,38 puncte a refuzurilor cererilor inofensive. Barierele reduc rata; niciun furnizor nu pretinde zero.
Ce fac când o IA refuză o cerere rezonabilă?
Adaugă context, apoi schimbă modelul. O propoziție care spune cine ești și de ce întrebi schimbă presupunerea modelului despre intenție. Dacă tot refuză, modelul altui furnizor răspunde adesea, pentru că fiecare trasează linia diferit. În Whizi asta înseamnă o schimbare de model în aceeași conversație. Prompturile de jailbreak publicate sunt corectate rapid și încalcă termenii furnizorilor.
