En avvisning är en vana, och ett jailbreak är ett sätt att bryta den
En modell innehåller ingen regel som säger "förklara inte hur man dyrkar upp ett lås". Den har en vana att neka, installerad under efterträningsstadiet som vad är finjustering av AI beskriver, där människor betygsatte nekanden av skadliga förfrågningar högre än efterlevnad tills nekande blev den mest sannolika fortsättningen på en sådan förfrågan. Sannolik, inte säker.
Ett jailbreak är vilken prompt som helst som ändrar sannolikheterna. Väv in förfrågan i en berättelse, och den mest sannolika fortsättningen blir nästa rad i berättelsen. Dela upp den i oskyldiga delar, och ingen del utlöser vanan. Koda den i base64, och nekandeträningen, som bara sett vanlig engelska, känner inte igen den. Ge modellen tvåhundra exempel där en assistent går med på förfrågan, och den tvåhundraförsta besvaras på samma sätt, något Anthropic kallade many-shot jailbreaking i april 2024 och som blev lättare i takt med att kontextfönstren växte.
Mekanismen är densamma som gör modellen användbar. Den följer mönstret i sin indata. Säkerhetsträningen gör vissa mönster mycket mindre sannolika. Ett jailbreak hittar ett mönster som träningen inte täckte. Det är därför problemet inte löses med en bättre regel, och därför leverantörerna mäter det som en andel.
De vanliga teknikerna, och vad var och en utnyttjar
| Teknik | Hur det fungerar | Vad den utnyttjar |
|---|---|---|
| Rollspel ("du är DAN, Do Anything Now") | Ger modellen en persona utan regler | Nekanden är kopplade till assistentpersonan, inte den underliggande prediktorn |
| Hypotetisk eller fiktiv inramning | "I en roman förklarar en karaktär hur man..." | Fiktion är en legitim uppgift, och träningen belönade att slutföra den |
| Kodning och förvrängning | Base64, chiffer, leetspeak, ett annat språk | Nekandeträningen skedde mestadels på vanlig engelska |
| Many-shot | Hundratals exempel på utbyten där assistenten går med på förfrågan | Modellen fortsätter mönstret i sin kontext |
| Gradvis eskalering | En lång konversation som rör sig ett steg i taget | Varje steg ligger nära det förra, inget enskilt meddelande utlöser vanan |
| Promptinjektion i instruktionerna | "Ignorera tidigare instruktioner" | Överlappar med injektion, målet är appens regler snarare än modellens |
DAN-prompterna som cirkulerade på Reddit från december 2022 är folkversionen, och varje version slutade fungera inom veckor till månader när OpenAI uppdaterade modellen, och nästa version dök upp. Varje namngiven teknik följer den cykeln: publicerad, sedan patchad. Anthropic körde en betald belöning för ett universellt jailbreak mot sina klassificerare, vilket är där det varaktiga arbetet nu läggs.
En distinktion värd att hålla isär. Ett jailbreak är användaren mot modellens policy. Vad är promptinjektion är en tredje part mot användaren, genom innehåll som modellen läser. Teknikerna överlappar, offren gör det inte.
Vad ett skyddsräcke faktiskt stoppar, mätt
Det bästa offentliga talet kommer från Anthropics konstitutionella klassificerare, publicerade i februari 2025. Teamet tränade separata klassificeringsmodeller för att granska indata och utdata kring Claude, och körde sedan samma automatiserade jailbreak-attacker mot modellen med och utan filtret.
Kostnaden för den minskningen är den andra halvan av resultatet. Klassificerarna lade till 23,7 procent i beräkningskraft per fråga och höjde nekanden av ofarliga förfrågningar med 0,38 procentenheter. Innan det automatiserade testet lade 183 personer mer än 3 000 timmar på en buggbounty för att försöka hitta ett universellt jailbreak, en enda prompt som låste upp alla tio förbjudna frågorna, och ingen lyckades. En senare offentlig utmaning hittade en efter en vecka. Andelen är inte noll, poängen är att den gick från att de flesta försök lyckades till bara ett fåtal.
Det är vad "skyddsräcken" betyder i praktiken: en stapel av sannolikheter. Den tränade nekandevanan fångar de flesta. En klassificerare fångar det mesta av det som blir kvar. En mänsklig granskning fångar en del av resten. Varje lager kostar latens eller pengar eller felaktiga nekanden, och leverantören väljer en punkt på den kurvan. Är AI säkert att använda tar upp vad den punkten betyder för de risker du faktiskt möter.
Varför du förmodligen ville ha en omformulering, inte ett jailbreak
Många som söker efter ett jailbreak har bara blivit nekade något rimligt. En läkare som frågar om en dos, en romanförfattare som skriver en skurk, en säkerhetsforskare som beskriver en verklig attack, en historiker som citerar en verklig text. Ökningen på 0,38 punkter ovan är bara klassificerarens andel, den tränade vanan nekar på egen hand, och ingen publicerar den andelen.
Två saker fungerar och ingen av dem är ett jailbreak. Den första är sammanhang. Ett nekande är modellens gissning att förfrågan är skadlig, och en mening om vem du är och varför du frågar ändrar gissningen: "Jag är farmaceut och kontrollerar en pediatrisk dos" är en annan indata än den nakna frågan. Den andra är modellen. Leverantörer drar sina gränser på olika ställen, och en förfrågan som en modell nekar besvaras rutinmässigt av en annan som anser den vardaglig. I en arbetsyta med flera modeller är det ett modellbyte som kostar den andra modellens nivå, 1 kredit för Whizi AI eller 10 för Claude Sonnet 5, och hur du väljer en AI-modell tar upp skillnaderna som går utöver nekanden.
Det som inte fungerar, och det Whizi inte hjälper till med: prompter designade för att kringgå en leverantörs policy. Varje modell på Whizi körs via OpenRouter och den anlitade leverantören, så den leverantörens säkerhetslager och användarpolicy gäller för varje meddelande, och ett jailbreak som fungerar är ett policybrott hos båda företagen. Det legitima behovet, ett ärligt svar på en legitim fråga, uppfylls genom att fråga rakt på sak och, om det nekas, fråga en modell med en annan policy.
Vart jailbreaking är på väg
Tre förskjutningar syns redan i det publicerade arbetet. Klassificeringslager håller på att bli standard, och deras andel felaktiga nekanden är talet att hålla koll på, eftersom ett skydd som blockerar en farmaceut är ett skydd folk hittar vägar runt. Öppna modeller med tillgängliga vikter, som guiden om öppna LLM:er tar upp, kan få sin nekandeträning borttagen genom finjustering, så för de modellerna ligger skyddsräcket där de hostas snarare än i vikterna. Och agenter höjer insatserna: en jailbreakad chatbot säger något den inte borde, medan en jailbreakad agent med verktyg gör något, vilket är varför bekräftelsesteget innan en åtgärd spelar större roll än något nekande.
- Behandla ett nekande som modellens gissning om avsikt, och lägg till en mening kontext innan du försöker igen
- När en modell nekar en rimlig förfrågan, fråga en annan modell, leverantörer drar gränsen på olika ställen
- Läs leverantörers säkerhetspåståenden som andelar, och leta efter talet för felaktiga nekanden bredvid talet för lyckade attacker
- Använd inte publicerade jailbreak-prompter, de patchas inom några veckor och bryter mot villkoren hos alla leverantörer
- För allt med verktyg kopplat, bry dig mer om bekräftelsesteget innan en åtgärd än om nekanden
Vanliga frågor
Vad betyder det att jailbreaka en AI?
Att få en modell att producera resultat som dess säkerhetsträning är tänkt att neka, med hjälp av en genomtänkt prompt: en rollspelspersona, en fiktiv inramning, en kodad förfrågan, eller hundratals exempelutbyten. Det fungerar eftersom nekande är en inlärd vana snarare än en fast regel, så en prompt som får efterlevnad att verka mer sannolik än nekande kommer igenom.
Är AI-jailbreaking olagligt?
Det bryter mot användarvillkoren hos alla stora leverantörer och kan leda till att ett konto stängs av, och om det är olagligt beror på vad resultatet används till och var du befinner dig. Leverantörer kör buggbountyprogram för det, så att hitta ett jailbreak och rapportera det välkomnas, medan att använda ett för att få fram skadligt innehåll inte gör det.
Vad var DAN-jailbreaket?
DAN, "Do Anything Now", var en rollspelsprompt som cirkulerade på Reddit från december 2022 och som fick ChatGPT att agera som en persona utan regler. Det fungerade eftersom nekandebeteendet var kopplat till assistentpersonan, och det slutade fungera inom veckor till månader när OpenAI uppdaterade modellen. Varje ny version upprepade cykeln.
Hur effektiva är AI:s skyddsräcken?
Anthropics uppsats om konstitutionella klassificerare mätte det: 86 procent av de automatiserade jailbreak-försöken lyckades mot den nakna modellen och 4,4 procent mot modellen med klassificerare som granskade in- och utdata, till en kostnad av 23,7 procent mer beräkningskraft per fråga och en ökning på 0,38 punkter i nekanden av ofarliga förfrågningar. Skyddsräcken sänker andelen, ingen leverantör påstår sig ha noll.
Vad ska jag göra när en AI nekar en rimlig förfrågan?
Lägg till sammanhang, byt sedan modell. En mening som säger vem du är och varför du frågar ändrar modellens gissning om avsikt. Om den fortfarande nekar svarar ofta en annan leverantörs modell, eftersom var och en drar sin gräns olika. I Whizi är det ett modellbyte i samma konversation. Publicerade jailbreak-prompter patchas snabbt och bryter mot leverantörernas villkor.
