AI Jailbreak คืออะไร

การปฏิเสธคือนิสัย และ jailbreak คือวิธีทำลายนิสัยนั้น

โมเดลไม่ได้มีกฎที่เขียนไว้ว่า "ห้ามอธิบายวิธีงัดกุญแจ" มันมีแค่นิสัยการปฏิเสธ ที่ถูกติดตั้งในขั้นตอนหลังการฝึกซึ่งfine-tuning คืออะไรอธิบายไว้ โดยมีคนให้คะแนนการปฏิเสธคำขอที่เป็นอันตรายสูงกว่าการทำตาม จนการปฏิเสธกลายเป็นคำตอบที่มีโอกาสเกิดขึ้นมากที่สุดสำหรับคำขอแบบนั้น มีโอกาสมาก ไม่ใช่แน่นอน

jailbreak คือพรอมต์แบบใดก็ได้ที่เปลี่ยนความน่าจะเป็นเหล่านั้น ห่อคำขอไว้ในเรื่องเล่า คำตอบที่น่าจะเป็นที่สุดก็คือประโยคถัดไปของเรื่อง แบ่งคำขอออกเป็นชิ้นเล็ก ๆ ที่ดูไม่มีพิษภัย ไม่มีชิ้นไหนกระตุ้นนิสัยนั้น เข้ารหัสเป็น base64 การฝึกปฏิเสธที่เห็นแต่ภาษาอังกฤษธรรมดาก็จำมันไม่ได้ ให้ตัวอย่างโมเดลทำตามสองร้อยครั้ง คำขอที่สองร้อยเอ็ดก็จะถูกตอบไปในทางเดียวกัน ซึ่ง Anthropic ตั้งชื่อว่า many-shot jailbreaking ในเดือนเมษายน 2024 และยิ่งง่ายขึ้นเมื่อ context window ใหญ่ขึ้น

กลไกนี้เป็นตัวเดียวกับที่ทำให้โมเดลมีประโยชน์ มันทำตามรูปแบบของอินพุตที่ได้รับ การฝึกด้านความปลอดภัยทำให้บางรูปแบบมีโอกาสเกิดน้อยลงมาก แต่ jailbreak คือการหารูปแบบที่การฝึกไม่ครอบคลุมถึง นี่คือเหตุผลที่ปัญหานี้แก้ไม่ได้ด้วยกฎที่ดีกว่า และเหตุผลที่ผู้ให้บริการวัดมันเป็นอัตราส่วน

เทคนิคยอดนิยม และแต่ละแบบเจาะช่องโหว่อะไร

พรอมต์ DAN ที่แพร่หลายบน Reddit ตั้งแต่เดือนธันวาคม 2022 คือเวอร์ชันชาวบ้าน และแต่ละเวอร์ชันก็ใช้ไม่ได้ผลภายในไม่กี่สัปดาห์ถึงไม่กี่เดือน เมื่อ OpenAI อัปเดตโมเดล แล้วก็มีเวอร์ชันถัดไปตามมา ทุกเทคนิคที่มีชื่อเรียกล้วนวนตามวงจรนี้ ถูกเผยแพร่ แล้วก็ถูกอุด Anthropic เคยจัดค่าตอบแทนล่ารางวัลสำหรับ jailbreak แบบสากลที่เจาะตัวจำแนกของตนได้ ซึ่งเป็นจุดที่งานที่ยั่งยืนตอนนี้มุ่งไป

มีข้อแตกต่างหนึ่งที่ควรจำ jailbreak คือผู้ใช้สู้กับนโยบายของโมเดล ส่วนprompt injection คืออะไรคือบุคคลที่สามสู้กับผู้ใช้ ผ่านเนื้อหาที่โมเดลอ่าน เทคนิคทับซ้อนกัน แต่เหยื่อไม่ใช่คนเดียวกัน

การ์ดความปลอดภัยหยุดอะไรได้บ้าง วัดผลจริง

ตัวเลขสาธารณะที่ดีที่สุดมาจาก constitutional classifiers ของ Anthropic ที่เผยแพร่ในเดือนกุมภาพันธ์ 2025 ทีมงานฝึกโมเดลตัวจำแนกแยกต่างหากเพื่อคัดกรองอินพุตและเอาต์พุตรอบ ๆ Claude แล้วรันการโจมตี jailbreak แบบอัตโนมัติชุดเดียวกันกับโมเดล ทั้งแบบมีและไม่มีตัวกรอง

ต้นทุนของการลดลงนี้คืออีกครึ่งหนึ่งของผลลัพธ์ ตัวจำแนกเพิ่มคอมพิวต์ 23.7 เปอร์เซ็นต์ต่อคำขอ และทำให้การปฏิเสธคำขอที่ไม่มีพิษภัยเพิ่มขึ้น 0.38 จุดเปอร์เซ็นต์ ก่อนการทดสอบอัตโนมัตินี้ มีคน 183 คนใช้เวลารวมกันกว่า 3,000 ชั่วโมงในโครงการล่ารางวัลเพื่อหา jailbreak แบบสากล หนึ่งพรอมต์ที่ปลดล็อกคำถามต้องห้ามทั้งสิบข้อ แต่ไม่มีใครทำได้ ต่อมามีการท้าทายสาธารณะที่หาเจอได้ในหนึ่งสัปดาห์ อัตรานี้ไม่ใช่ศูนย์ ประเด็นคือมันขยับจากการพยายามส่วนใหญ่สำเร็จ มาเป็นสำเร็จแค่ไม่กี่ครั้ง

นั่นคือความหมายของ "การ์ดความปลอดภัย" ในทางปฏิบัติ คือกองซ้อนของความน่าจะเป็น การปฏิเสธที่ถูกฝึกมาจับได้ส่วนใหญ่ ตัวจำแนกจับส่วนที่เหลือส่วนใหญ่ การตรวจสอบโดยมนุษย์จับบางส่วนที่เหลือ แต่ละชั้นมีต้นทุนเป็นความหน่วง เงิน หรือการปฏิเสธผิดพลาด และผู้ให้บริการก็เลือกจุดหนึ่งบนเส้นโค้งนั้น AI ปลอดภัยแค่ไหนครอบคลุมว่าจุดนั้นหมายถึงอะไรกับความเสี่ยงที่คุณเจอจริง ๆ

ทำไมสิ่งที่คุณต้องการอาจเป็นแค่การถามใหม่ ไม่ใช่ jailbreak

หลายคนที่ค้นหา jailbreak เพียงแค่โดนปฏิเสธเรื่องที่สมเหตุสมผล หมอถามเรื่องขนาดยา นักเขียนนิยายเขียนตัวร้าย นักวิจัยความปลอดภัยอธิบายการโจมตีจริง นักประวัติศาสตร์อ้างอิงข้อความจริง ตัวเลข 0.38 จุดที่เพิ่มขึ้นข้างต้นเป็นแค่ส่วนของตัวจำแนกเท่านั้น นิสัยที่ถูกฝึกมาปฏิเสธด้วยตัวมันเองอยู่แล้ว และไม่มีใครเผยแพร่อัตรานั้น

สองสิ่งที่ได้ผลจริงและไม่ใช่ jailbreak สักอย่าง อย่างแรกคือบริบท การปฏิเสธคือการเดาของโมเดลว่าคำขอนั้นเป็นอันตราย และประโยคที่บอกว่าคุณเป็นใครและทำไมถึงถาม เปลี่ยนการเดานั้นได้ "ฉันเป็นเภสัชกรกำลังตรวจสอบขนาดยาสำหรับเด็ก" เป็นอินพุตที่ต่างจากคำถามเปล่า ๆ อย่างที่สองคือตัวโมเดล ผู้ให้บริการแต่ละรายขีดเส้นไว้คนละจุด และคำขอที่โมเดลหนึ่งปฏิเสธก็มักถูกอีกโมเดลหนึ่งตอบเป็นเรื่องปกติ ในพื้นที่ทำงานแบบหลายโมเดล นั่นคือการเปลี่ยนตัวเลือกที่มีต้นทุนตามระดับของโมเดลที่สอง 1 เครดิตสำหรับ Whizi AI หรือ 10 เครดิตสำหรับ Claude Sonnet 5 และวิธีเลือกโมเดล AIครอบคลุมความแตกต่างที่มากกว่าแค่เรื่องการปฏิเสธ

สิ่งที่ไม่ได้ผลและสิ่งที่ Whizi จะไม่ช่วย คือพรอมต์ที่ออกแบบมาเพื่อเอาชนะนโยบายของผู้ให้บริการ ทุกโมเดลบน Whizi ถูกส่งผ่าน OpenRouter และผู้ให้บริการที่ถูกกำหนดเส้นทางไป ดังนั้นชั้นความปลอดภัยและนโยบายการใช้งานของผู้ให้บริการนั้นบังคับใช้กับทุกข้อความ และ jailbreak ที่ได้ผลก็คือการละเมิดนโยบายของทั้งสองบริษัท ความต้องการที่ชอบธรรม คือคำตอบตรงไปตรงมาสำหรับคำถามที่ชอบธรรม ทำได้ด้วยการถามตรง ๆ และถ้าถูกปฏิเสธ ก็ลองถามโมเดลที่มีนโยบายต่างออกไป

ทิศทางของ jailbreaking ต่อจากนี้

มีสามความเปลี่ยนแปลงที่เห็นได้แล้วในงานที่เผยแพร่ ชั้นตัวจำแนกกำลังกลายเป็นมาตรฐาน และอัตราการปฏิเสธผิดพลาดของมันคือตัวเลขที่ต้องจับตา เพราะการ์ดที่กันเภสัชกรไว้ด้วยคือการ์ดที่คนหาทางเลี่ยง โมเดล open-weight ซึ่งคู่มือ open-source LLMครอบคลุมไว้ สามารถถูกถอดการฝึกปฏิเสธออกได้ด้วยการทำ fine-tuning ดังนั้นสำหรับโมเดลเหล่านี้การ์ดความปลอดภัยจะอยู่ที่ไหนก็ตามที่มันถูกโฮสต์ ไม่ใช่อยู่ในน้ำหนักโมเดล และเอเจนต์ยิ่งเพิ่มความเสี่ยง แชตบอตที่ถูก jailbreak พูดสิ่งที่ไม่ควรพูด แต่เอเจนต์ที่ถูก jailbreak และมีเครื่องมือในมือจะลงมือทำ นี่คือเหตุผลที่ขั้นตอนยืนยันก่อนลงมือทำสำคัญกว่าการปฏิเสธใด ๆ