Що таке джейлбрейк ШІ?

Відмова, це звичка, а джейлбрейк, це спосіб її зламати

Модель не містить правила, яке каже "не пояснюй, як зламати замок". Вона містить звичку відмовляти, встановлену під час етапу постнавчання, який описує що таке файнтюнінг у ШІ, де люди оцінювали відмови на шкідливі запити вище за виконання, доки відмова не стала найімовірнішим продовженням такого запиту. Імовірнішим, а не гарантованим.

Джейлбрейк, це будь-який промпт, що змінює ці ймовірності. Загорни запит в історію, і найімовірнішим продовженням стає наступний рядок цієї історії. Розбий його на невинні шматки, і жоден шматок не запускає звичку. Закодуй його в base64, і навчання відмовляти, яке бачило звичайну англійську, його не розпізнає. Дай моделі двісті прикладів, де асистент виконує запит, і двісті перший запит буде виконано так само, що Anthropic назвав many-shot jailbreaking у квітні 2024 року і що ставало легшим із зростанням контекстних вікон.

Механізм тут той самий, що робить модель корисною. Вона слідує патерну свого вводу. Навчання з безпеки робить деякі патерни значно менш імовірними; джейлбрейк знаходить патерн, який навчання не охопило. Тому проблему не вирішує краще правило, і тому виробники вимірюють її як частку.

Поширені техніки і що кожна з них використовує

Промпти DAN, що поширювалися на Reddit з грудня 2022 року, це народна версія, і кожна версія переставала працювати за кілька тижнів чи місяців, коли OpenAI оновлював модель, а потім з'являлася наступна. Кожна названа техніка йде цим циклом: публікація, потім виправлення. Anthropic провів платну програму винагород за універсальний джейлбрейк проти своїх класифікаторів, і саме туди тепер іде тривала робота.

Одна відмінність, яку варто пам'ятати. Джейлбрейк, це користувач проти політики моделі. Що таке prompt injection, це третя сторона проти користувача, через контент, який читає модель. Техніки перетинаються; жертви ні.

Що насправді зупиняє запобіжник, у вимірах

Найкраще публічне число походить від конституційних класифікаторів Anthropic, опублікованих у лютому 2025 року. Команда навчила окремі моделі-класифікатори перевіряти вводи й виводи навколо Claude, а потім запустила ті самі автоматизовані атаки джейлбрейку проти моделі з екраном і без нього.

Ціна цього падіння, це друга половина результату. Класифікатори додали 23,7 відсотка до обчислень на запит і підняли частку відмов на нешкідливі запити на 0,38 відсоткового пункту. До автоматизованого тесту 183 людини витратили понад 3000 годин у програмі винагород, намагаючись знайти універсальний джейлбрейк, один промпт, що розблокував би всі десять заборонених питань, і нікому це не вдалося. Пізніший публічний виклик знайшов такий за тиждень. Частка не нульова; суть у тому, що вона змістилася від успіху більшості спроб до лише кількох.

Ось що означають "запобіжники" на практиці: стек імовірностей. Навчена відмова ловить більшість. Класифікатор ловить більшість із того, що залишилося. Перевірка людиною ловить дещо з решти. Кожен шар коштує затримки, грошей або хибних відмов, і виробник обирає точку на цій кривій. Чи безпечно користуватися ШІ розповідає, що ця точка означає для ризиків, з якими ви насправді стикаєтеся.

Чому вам, ймовірно, потрібне було перефразування, а не джейлбрейк

Багато людей, які шукають джейлбрейк, просто отримали відмову на щось розумне. Лікар запитав про дозування, письменник пише лиходія, дослідник безпеки описує реальну атаку, історик цитує реальний текст. Зростання на 0,38 пункту вище, це лише частка класифікатора; навчена звичка відмовляє сама по собі, і цю частку ніхто не публікує.

Працюють дві речі, і жодна з них не є джейлбрейком. Перша, це контекст. Відмова, це здогадка моделі про те, що запит шкідливий, і речення про те, хто ви і чому питаєте, змінює цю здогадку: "Я фармацевт, який перевіряє педіатричну дозу" це інший ввід, ніж голе питання. Друга, це модель. Виробники проводять межу в різних місцях, і запит, який відхиляє одна модель, регулярно виконує інша, яка вважає його звичайним. У багатомодельному робочому просторі це просто зміна в переключувачі, що коштує рівня другої моделі, 1 кредит для Whizi AI або 10 для Claude Sonnet 5, і як обрати модель ШІ розповідає про відмінності, що виходять за межі відмов.

Що не працює і в чому Whizi не допоможе: промпти, розроблені для обходу політики провайдера. Кожна модель у Whizi обслуговується через OpenRouter і підключеного провайдера, тож шари безпеки й політика використання цього провайдера застосовуються до кожного повідомлення, і джейлбрейк, який спрацював, це порушення політики обох компаній одразу. Легітимна потреба, чесна відповідь на легітимне питання, задовольняється прямим запитанням і, у разі відмови, зверненням до моделі з іншою політикою.

Куди рухається джейлбрейкінг

У опублікованих роботах уже видно три зсуви. Шари класифікаторів стають стандартом, і частка їхніх хибних відмов, це число, за яким варто стежити, бо запобіжник, що блокує фармацевта, це запобіжник, який люди обходять. Моделі з відкритою вагою, які охоплює гід з опенсорсних LLM, можуть мати своє навчання відмовляти знятим через файнтюнінг, тож для таких моделей запобіжник знаходиться там, де їх розміщено, а не у вагах. А агенти піднімають ставки: джейлбрейкнутий чатбот каже щось, чого не мав би, тоді як джейлбрейкнутий агент з інструментами робить щось, тому крок підтвердження перед дією важливіший за будь-яку відмову.