Отказ, это привычка, а джейлбрейк, это способ её сломать
Модель не содержит правила «не объясняй, как вскрыть замок». В ней есть привычка отказывать, установленная на этапе постобучения, который описывает что такое дообучение ИИ: там люди оценивали отказы на вредные запросы выше, чем выполнение, пока отказ не стал самым вероятным продолжением такого запроса. Вероятным, а не гарантированным.
Джейлбрейк, это любой промпт, который меняет эти вероятности. Оберните запрос в историю, и самым вероятным продолжением станет следующая строка истории. Разбейте его на безобидные части, и ни одна часть не запускает привычку. Закодируйте его в base64, и обучение отказу, которое видело только обычный английский текст, его не распознаёт. Дайте модели двести примеров, где ассистент выполняет запрос, и двести первый запрос будет исполнен так же: Anthropic назвал это many-shot jailbreaking в апреле 2024 года, и с ростом контекстных окон это стало проще.
Механизм тот же самый, что делает модель полезной. Она следует шаблону своего входа. Обучение безопасности делает некоторые шаблоны намного менее вероятными; джейлбрейк находит шаблон, который обучение не охватило. Поэтому проблему не решить более строгим правилом, и поэтому вендоры измеряют её как процент.
Распространённые техники и что каждая из них использует
| Техника | Как работает | Что использует |
|---|---|---|
| Ролевая игра («ты DAN, Do Anything Now») | Присваивает модели персону без правил | Отказы привязаны к персоне ассистента, а не к базовому предсказателю |
| Гипотетическая или художественная рамка | «В романе персонаж объясняет, как...» | Художественный текст, это легитимная задача, и обучение поощряло её выполнение |
| Кодирование и обфускация | Base64, шифры, леетспик, другой язык | Обучение отказу проходило в основном на обычном английском |
| Many-shot | Сотни примеров диалогов, где ассистент выполняет запрос | Модель продолжает шаблон своего контекста |
| Постепенная эскалация | Долгий разговор, который движется по одному шагу за раз | Каждый шаг близок к предыдущему; ни одно отдельное сообщение не запускает привычку |
| Промпт-инъекция в инструкции | «Игнорируй предыдущие инструкции» | Пересекается с инъекцией; цель, это правила приложения, а не самой модели |
Промпты DAN, распространившиеся на Reddit с декабря 2022 года, это народная версия, и каждая версия переставала работать через недели или месяцы, когда OpenAI обновляла модель, а затем появлялась следующая версия. Каждая известная техника следует этому циклу: опубликована, затем исправлена. Anthropic запускал платную программу вознаграждений за универсальный джейлбрейк против своих классификаторов, и именно туда сейчас уходит серьёзная работа.
Одно различие стоит запомнить. Джейлбрейк, это пользователь против политики модели. Что такое промпт-инъекция, это третья сторона против пользователя, через контент, который читает модель. Техники пересекаются, жертвы нет.
Что на самом деле останавливает защита, измеримо
Лучшая публичная цифра получена из конституционных классификаторов Anthropic, опубликованных в феврале 2025 года. Команда обучила отдельные модели-классификаторы для проверки входов и выходов вокруг Claude, а затем запустила те же автоматизированные атаки джейлбрейка на модель с экраном и без него.
Цена этого снижения, это вторая половина результата. Классификаторы добавили 23,7 процента к вычислениям на запрос и увеличили отказы в безобидных запросах на 0,38 процентного пункта. До автоматизированного теста 183 человека потратили более 3000 часов в программе поиска уязвимостей, пытаясь найти универсальный джейлбрейк, один промпт, который открыл бы все десять запрещённых вопросов, и никто не смог. Более поздний публичный конкурс нашёл такой промпт через неделю. Процент не равен нулю; суть в том, что он сдвинулся от «успевает большинство попыток» к «успевает немногое».
Вот что на практике означает слово «защита»: стек вероятностей. Обученный отказ ловит большинство. Классификатор ловит большую часть оставшегося. Проверка человеком ловит часть остатка. Каждый слой стоит задержки, денег или ложных отказов, и вендор выбирает точку на этой кривой. Безопасно ли использовать ИИ рассказывает, что эта точка значит для рисков, с которыми вы реально сталкиваетесь.
Почему вам, скорее всего, была нужна не джейлбрейк, а перефразировка
Многие, кто ищет джейлбрейк, просто получили отказ на разумный запрос. Врач спросил про дозировку, писатель работает над злодеем, исследователь безопасности описывает реальную атаку, историк цитирует реальный текст. Рост на 0,38 пункта выше, это только доля классификатора; обученная привычка отказывает сама по себе, и этот показатель никто не публикует.
Работают две вещи, и ни одна из них не джейлбрейк. Первая, это контекст. Отказ, это догадка модели о том, что запрос вреден, и предложение о том, кто вы и зачем спрашиваете, меняет эту догадку: «я фармацевт, проверяю детскую дозу» это другой вход, чем голый вопрос. Вторая, это модель. Вендоры проводят границы в разных местах, и запрос, в котором отказывает одна модель, обычно спокойно выполняет другая, считая его обычным. В рабочем пространстве с несколькими моделями это просто смена в селекторе, которая стоит ступени второй модели, 1 кредит за Whizi AI или 10 за Claude Sonnet 5, а как выбрать модель ИИ рассказывает о различиях, которые выходят за рамки отказов.
Что не работает и с чем Whizi не поможет: промпты, придуманные для обхода политики провайдера. Каждая модель на Whizi обслуживается через OpenRouter и провайдера маршрутизации, поэтому слои безопасности и политика использования этого провайдера действуют для каждого сообщения, и рабочий джейлбрейк, это нарушение политики сразу у обеих компаний. Легитимная потребность, честный ответ на легитимный вопрос, удовлетворяется прямым вопросом и, если в нём отказано, вопросом к модели с другой политикой.
Куда движется джейлбрейкинг
В опубликованных работах уже видны три сдвига. Слои классификаторов становятся стандартом, и показатель, за которым стоит следить, это доля ложных отказов, потому что защита, блокирующая фармацевта, это защита, которую люди начинают обходить. Модели с открытыми весами, о которых рассказывает гид по открытым LLM, могут лишиться обучения отказу через дообучение, поэтому для таких моделей защита находится там, где их размещают, а не в самих весах. А агенты повышают ставки: джейлбрейкнутый чат-бот говорит то, чего не должен, а джейлбрейкнутый агент с инструментами делает то, чего не должен, поэтому шаг подтверждения перед действием важнее любого отказа.
- Относитесь к отказу как к догадке модели о намерении и добавляйте одно предложение с контекстом перед повторной попыткой
- Если модель отказывает в разумном запросе, спросите другую модель; вендоры проводят границу в разных местах
- Читайте заявления вендоров о безопасности как проценты и ищите цифру ложных отказов рядом с цифрой успешных атак
- Не используйте опубликованные промпты для джейлбрейка; их исправляют в течение недель, и они нарушают условия каждого провайдера
- Для всего, что связано с инструментами, шаг подтверждения перед действием важнее, чем отказы
Частые вопросы
Что значит джейлбрейк ИИ?
Заставить модель выдать результат, отказать в котором должно было её обучение безопасности, с помощью специально составленного промпта: ролевой персоны, художественной рамки, закодированного запроса или сотен примеров диалогов. Это работает, потому что отказ, это выученная привычка, а не жёсткое правило, поэтому промпт, из-за которого выполнение выглядит более вероятным, чем отказ, проходит.
Джейлбрейк ИИ незаконен?
Он нарушает условия использования каждого крупного провайдера и может привести к блокировке аккаунта; законность зависит от того, для чего используется результат и где вы находитесь. Вендоры запускают программы вознаграждений за такие находки, поэтому найти джейлбрейк и сообщить о нём приветствуется, а использовать его для получения вредного контента нет.
Что такое джейлбрейк DAN?
DAN, «Do Anything Now», это ролевой промпт, распространившийся на Reddit с декабря 2022 года, который заставлял ChatGPT вести себя как персона без правил. Он работал, потому что поведение отказа было привязано к персоне ассистента, и переставал работать в течение недель или месяцев, когда OpenAI обновляла модель. Каждая новая версия повторяла тот же цикл.
Насколько эффективна защита ИИ
Статья Anthropic о конституционных классификаторах измерила это: 86 процентов автоматизированных попыток джейлбрейка прошли через незащищённую модель и 4,4 процента через модель с классификаторами, проверяющими входы и выходы, ценой 23,7 процента дополнительных вычислений на запрос и роста отказов на безобидные запросы на 0,38 пункта. Защита снижает процент; ни один вендор не заявляет о нуле.
Что делать, если ИИ отказывает в разумном запросе
Добавьте контекст, затем смените модель. Предложение о том, кто вы и зачем спрашиваете, меняет догадку модели о намерении. Если отказ повторяется, модель другого вендора часто отвечает, потому что каждый проводит свою границу по-своему. В Whizi это смена модели в том же диалоге. Опубликованные промпты для джейлбрейка быстро исправляют, и они нарушают условия провайдеров.
