Reddediş bir alışkanlıktır, jailbreak ise onu kırmanın bir yoludur
Bir modelin içinde "kilit açmayı nasıl yapacağını açıklama" diyen bir kural yoktur. İçinde olan şey, yapay zekada fine-tuning nedir yazısının anlattığı son eğitim aşamasında yerleşen reddetme alışkanlığıdır: insanlar zararlı isteklere verilen reddedişleri uyum göstermenin üzerinde puanladı, ta ki reddetmek böyle bir isteğin en olası devamı haline gelene dek. Olası, kesin değil.
Jailbreak, olasılıkları değiştiren herhangi bir promptdur. İsteği bir hikayeye sarın, en olası devam hikayenin bir sonraki satırı olur. Onu masum parçalara bölün, hiçbir parça alışkanlığı tetiklemez. Base64'te kodlayın, düz İngilizce gören reddetme eğitimi onu tanımaz. Modele iki yüz uyumlu örnek gösterin, iki yüz birinci istek aynı şekilde yanıtlanır; Anthropic bunu Nisan 2024'te many-shot jailbreaking olarak adlandırdı ve bağlam pencereleri büyüdükçe bu daha kolay hale geldi.
Bu mekanizma modeli kullanışlı yapan mekanizmanın aynısıdır. Girdisinin örüntüsünü takip eder. Güvenlik eğitimi bazı örüntüleri çok daha az olası kılar; jailbreak, eğitimin kapsamadığı bir örüntü bulur. Sorun bu yüzden daha iyi bir kuralla çözülmez ve satıcılar bu yüzden onu bir oran olarak ölçer.
Yaygın teknikler ve her birinin sömürdüğü şey
| Teknik | Nasıl işler | Neyi sömürür |
|---|---|---|
| Rol yapma ("sen DAN'sın, Do Anything Now") | Modele kuralsız bir kişilik atar | Reddedişler modelin altındaki tahminciye değil, asistan kişiliğine bağlıdır |
| Varsayımsal veya kurgu çerçevesi | "Bir romanda, bir karakter şöyle açıklıyor..." | Kurgu meşru bir görevdir ve eğitim onu tamamlamayı ödüllendirdi |
| Kodlama ve gizleme | Base64, şifreler, leetspeak, başka bir dil | Reddetme eğitimi çoğunlukla düz İngilizceydi |
| Many-shot | Asistanın uyum gösterdiği yüzlerce örnek diyalog | Model, bağlamının örüntüsünü sürdürür |
| Kademeli tırmandırma | Bir seferde bir adım ilerleyen uzun bir konuşma | Her adım bir öncekine yakındır; tek bir mesaj alışkanlığı tetiklemez |
| Talimatlara prompt injection | "Önceki talimatları unut" | Injection ile örtüşür; hedef modelin değil, uygulamanın kurallarıdır |
Aralık 2022'den itibaren Reddit'te dolaşan DAN promptları bunun halk versiyonudur ve OpenAI modeli güncelledikçe her sürüm haftalar ile aylar içinde işlemez hale geldi, ardından bir sonraki sürüm çıktı. Adı konmuş her teknik bu döngüyü izler: yayımlanır, sonra yamalanır. Anthropic, sınıflandırıcılarına karşı evrensel bir jailbreak için ücretli bir ödül programı yürüttü; kalıcı çalışmanın şimdi gittiği yer burası.
Akılda tutulması gereken bir ayrım var. Jailbreak, kullanıcının modelin politikasına karşı olmasıdır. Prompt injection nedir ise üçüncü bir tarafın, modelin okuduğu içerik yoluyla kullanıcıya karşı olmasıdır. Teknikler örtüşür; mağdurlar örtüşmez.
Bir korkuluk gerçekte neyi durdurur, ölçülmüş haliyle
En iyi kamuya açık sayı, Şubat 2025'te yayımlanan Anthropic'in anayasal sınıflandırıcılarından (constitutional classifiers) geliyor. Ekip, Claude'un çevresindeki girdi ve çıktıları taramak için ayrı sınıflandırıcı modeller eğitti, ardından aynı otomatik jailbreak saldırılarını modele bir ekranla ve ekransız çalıştırdı.
Bu düşüşün maliyeti sonucun diğer yarısıdır. Sınıflandırıcılar sorgu başına işlem gücüne yüzde 23,7 ekledi ve zararsız isteklerin reddedilme oranını 0,38 yüzde puanı artırdı. Otomatik testten önce, 183 kişi evrensel bir jailbreak, yani on yasaklı sorunun tamamının kilidini açan tek bir prompt bulmak için 3.000 saatten fazla harcadığı bir bug bounty yürüttü ve kimse bulamadı. Daha sonraki bir kamuya açık yarışmada bir hafta sonra biri bulundu. Oran sıfır değil; asıl nokta, çoğu denemenin başarılı olduğu bir durumdan azına düşmesi.
Pratikte "korkuluklar" (guardrails) budur: bir olasılıklar yığını. Eğitimli reddediş çoğunu yakalar. Bir sınıflandırıcı kalanın çoğunu yakalar. İnsan incelemesi geriye kalandan bir kısmını yakalar. Her katman gecikme, para veya yanlış reddediş açısından bir bedel öder ve satıcı bu eğrinin üzerinde bir nokta seçer. Yapay zeka kullanmak güvenli mi bu noktanın gerçekte karşılaştığınız riskler açısından ne anlama geldiğini ele alıyor.
Muhtemelen istediğin bir yeniden ifade edişti, jailbreak değil
Jailbreak arayan birçok kişi aslında makul bir şey için reddedilmişti. Bir doz hakkında soru soran bir doktor, kötü karakter yazan bir romancı, gerçek bir saldırıyı anlatan bir güvenlik araştırmacısı, gerçek bir metinden alıntı yapan bir tarihçi. Yukarıdaki 0,38 puanlık artış yalnızca sınıflandırıcının payı; eğitimli alışkanlık kendi başına da reddediyor ve o oranı kimse yayımlamıyor.
İki şey işe yarar ve hiçbiri jailbreak değildir. Birincisi bağlamdır. Reddediş, modelin isteğin zararlı olduğuna dair tahminidir ve kim olduğunuza ve neden sorduğunuza dair bir cümle bu tahmini değiştirir: "Ben pediatrik bir dozu kontrol eden bir eczacıyım" cümlesi, çıplak sorudan farklı bir girdidir. İkincisi modeldir. Satıcılar sınırlarını farklı yerlere çizer ve bir modelin reddettiği bir istek, bunu sıradan bulan başka bir model tarafından rutin olarak yanıtlanır. Çok modelli bir çalışma alanında bu, ikinci modelin basamağının maliyetine gelen bir seçici değişimidir, Whizi AI için 1 kredi veya Claude Sonnet 5 için 10 kredi, ve yapay zeka modeli nasıl seçilir reddedişlerin ötesindeki farkları ele alıyor.
İşe yaramayan şey ve Whizi'nin yardımcı olmayacağı şey: bir sağlayıcının politikasını atlatmak için tasarlanmış promptlar. Whizi'deki her model OpenRouter ve yönlendirilen sağlayıcı üzerinden sunulur, dolayısıyla o sağlayıcının güvenlik katmanları ve kullanım politikası her mesaja uygulanır ve işe yarayan bir jailbreak her iki şirkette de bir politika ihlalidir. Meşru ihtiyaç, yani meşru bir soruya samimi bir yanıt, açıkça sormakla ve reddedilirse farklı bir politikaya sahip bir modele sormakla karşılanır.
Jailbreak nereye gidiyor
Yayımlanmış çalışmalarda şimdiden görülebilen üç değişim var. Sınıflandırıcı katmanları standart hale geliyor ve izlenmesi gereken sayı, onların yanlış reddediş oranı; çünkü bir eczacıyı engelleyen bir korkuluk, insanların etrafından dolaştığı bir korkuluktur. Açık kaynak LLM rehberi'nin ele aldığı açık ağırlıklı (open-weight) modellerin reddetme eğitimi fine-tuning ile kaldırılabilir, dolayısıyla bu modeller için korkuluk ağırlıklarda değil, barındırıldıkları yerdedir. Ve ajanlar bahsi yükseltiyor: jailbreak yapılmış bir sohbet botu söylememesi gereken bir şey söyler, jailbreak yapılmış araç sahibi bir ajan ise bir şey yapar, bu yüzden bir eylemden önceki onay adımı herhangi bir reddedişten daha önemlidir.
- Bir reddedişi modelin niyet hakkındaki tahmini olarak ele al ve tekrar denemeden önce bir cümlelik bağlam ekle
- Bir model makul bir isteği reddettiğinde farklı bir model dene; satıcılar sınırı farklı yerlere çizer
- Satıcı güvenlik iddialarını oranlar olarak oku ve saldırı başarı sayısının yanındaki yanlış reddediş sayısına bak
- Yayımlanmış jailbreak promptlarını kullanma; haftalar içinde yamalanırlar ve her sağlayıcının şartlarını ihlal ederler
- Araçlara bağlı herhangi bir şey için, reddedişlerden çok bir eylemden önceki onay adımını önemse
Sık sorulan sorular
AI jailbreak yapmak ne demek?
Bir modeli, güvenlik eğitiminin reddetmesi gereken bir çıktı üretmeye, özenle hazırlanmış bir promptla ikna etmektir: bir rol yapma kişiliği, kurgusal bir çerçeve, kodlanmış bir istek veya yüzlerce örnek diyalog. İşe yarar çünkü reddediş katı bir kural değil öğrenilmiş bir alışkanlıktır, dolayısıyla uyumu reddedişten daha olası gösteren bir prompt bu alışkanlığı aşar.
AI jailbreak yapmak yasa dışı mı?
Her büyük sağlayıcının kullanım politikasını ihlal eder ve hesabın yasaklanmasına yol açabilir; yasa dışı olup olmadığı çıktının ne için kullanıldığına ve nerede olduğunuza bağlıdır. Satıcılar bunun için bug bounty programları yürütür, dolayısıyla bir jailbreak bulup bildirmek memnuniyetle karşılanırken, birini zararlı içerik elde etmek için kullanmak öyle değildir.
DAN jailbreak neydi?
DAN, "Do Anything Now", Aralık 2022'den itibaren Reddit'te dolaşan ve ChatGPT'ye kuralsız bir kişilik olarak davranmasını söyleyen bir rol yapma promptuydu. İşe yaradı çünkü reddetme davranışı asistan kişiliğine bağlıydı ve OpenAI modeli güncelledikçe haftalar ile aylar içinde işlemez hale geldi. Her yeni sürüm aynı döngüyü tekrarladı.
AI korkulukları ne kadar etkili?
Anthropic'in anayasal sınıflandırıcılar makalesi bunu ölçtü: otomatik jailbreak denemelerinin yüzde 86'sı korumasız modele karşı başarılı oldu, girdi ve çıktıları tarayan sınıflandırıcılı modele karşı ise yüzde 4,4'ü; bu da sorgu başına yüzde 23,7 daha fazla işlem gücü ve zararsız isteklerin reddedilmesinde 0,38 puanlık bir artış anlamına geldi. Korkuluklar oranı düşürür; hiçbir satıcı sıfır iddiasında bulunmaz.
Bir AI makul bir isteği reddettiğinde ne yapmalıyım?
Bağlam ekle, sonra modeli değiştir. Kim olduğunu ve neden sorduğunu belirten bir cümle, modelin niyet hakkındaki tahminini değiştirir. Yine reddederse, başka bir satıcının modeli genellikle yanıtlar, çünkü her biri sınırını farklı çizer. Whizi'de bu, aynı konuşma içinde bir model değişikliğidir. Yayımlanmış jailbreak promptları hızla yamalanır ve sağlayıcı şartlarını ihlal eder.
