انکار ایک عادت ہے، اور jailbreak اسے توڑنے کا طریقہ ہے
ماڈل میں کوئی اصول نہیں لکھا ہوتا کہ "تالا کھولنے کا طریقہ مت بتاؤ"۔ اس میں انکار کرنے کی عادت ڈالی جاتی ہے، پوسٹ ٹریننگ مرحلے کے دوران جسے AI میں fine-tuning کیا ہے بیان کرتا ہے، جہاں لوگوں نے نقصان دہ درخواستوں کے انکار کو تعمیل سے زیادہ درجہ دیا یہاں تک کہ ایسی درخواست کا سب سے ممکنہ تسلسل انکار بن گیا۔ ممکنہ، یقینی نہیں۔
jailbreak کوئی بھی ایسا prompt ہے جو یہ امکانات بدل دے۔ درخواست کو کہانی میں لپیٹ دیں تو سب سے ممکنہ تسلسل کہانی کی اگلی سطر بن جاتا ہے۔ اسے بے ضرر ٹکڑوں میں تقسیم کر دیں تو کوئی ٹکڑا عادت کو نہیں چھیڑتا۔ اسے base64 میں انکوڈ کریں تو انکار کی ٹریننگ، جس نے سادہ انگریزی دیکھی تھی، اسے پہچانتی نہیں۔ ماڈل کو ایسی دو سو مثالیں دیں جہاں اسسٹنٹ تعمیل کرتا ہے تو دو سو ایک ویں درخواست بھی اسی انداز میں پوری ہوتی ہے، جسے Anthropic نے اپریل 2024 میں many-shot jailbreaking کا نام دیا اور جو context window بڑھنے کے ساتھ آسان ہوتا گیا۔
یہ وہی میکانزم ہے جو ماڈل کو مفید بناتا ہے۔ یہ اپنے ان پٹ کے پیٹرن کی پیروی کرتا ہے۔ سیفٹی ٹریننگ کچھ پیٹرنز کو کم ممکن بناتی ہے؛ jailbreak وہ پیٹرن ڈھونڈتا ہے جسے ٹریننگ نے شامل نہیں کیا۔ یہی وجہ ہے کہ یہ مسئلہ کسی بہتر اصول سے حل نہیں ہوتا، اور کمپنیاں اسے شرح کے طور پر ناپتی ہیں۔
عام تکنیکیں، اور ہر ایک کیا استعمال کرتی ہے
| تکنیک | کیسے کام کرتی ہے | کیا استعمال کرتی ہے |
|---|---|---|
| رول پلے ("تم DAN ہو، Do Anything Now") | ماڈل کو بغیر اصول والا کردار دیتی ہے | انکار اسسٹنٹ کے کردار سے جڑا ہوتا ہے، بنیادی predictor سے نہیں |
| فرضی یا فکشن فریمنگ | "ایک ناول میں، ایک کردار بتاتا ہے کہ کیسے..." | فکشن ایک جائز کام ہے، اور ٹریننگ نے اسے مکمل کرنے پر انعام دیا |
| انکوڈنگ اور چھپاؤ | Base64، سائفر، لیٹ اسپیک، کوئی اور زبان | انکار کی ٹریننگ زیادہ تر سادہ انگریزی میں تھی |
| Many-shot | سینکڑوں مثالی مکالمے جہاں اسسٹنٹ تعمیل کرتا ہے | ماڈل اپنے context کا پیٹرن جاری رکھتا ہے |
| بتدریج اضافہ | ایک لمبی گفتگو جو ایک ایک قدم آگے بڑھتی ہے | ہر قدم پچھلے سے قریب ہوتا ہے؛ کوئی ایک پیغام عادت کو نہیں چھیڑتا |
| ہدایات میں prompt injection | "پچھلی ہدایات نظر انداز کرو" | injection سے مشابہت رکھتی ہے؛ نشانہ ایپ کے اصول ہیں، ماڈل کے نہیں |
دسمبر 2022 سے Reddit پر گردش کرنے والے DAN prompts اس کی عوامی شکل ہیں، اور ہر ورژن چند ہفتوں سے مہینوں میں کام کرنا چھوڑ دیتا جب OpenAI ماڈل اپڈیٹ کرتی، اور اگلا ورژن سامنے آتا۔ ہر نامور تکنیک اسی چکر سے گزرتی ہے: شائع ہوتی ہے، پھر ٹھیک کر دی جاتی ہے۔ Anthropic نے اپنے classifiers کے خلاف ایک universal jailbreak کے لیے ادائیگی والا bounty چلایا، جہاں اب پائیدار کام ہو رہا ہے۔
ایک فرق یاد رکھنے کے قابل ہے۔ jailbreak صارف کا ماڈل کی پالیسی کے خلاف عمل ہے۔ prompt injection کیا ہے ایک تیسرے فریق کا صارف کے خلاف عمل ہے، اس مواد کے ذریعے جو ماڈل پڑھتا ہے۔ تکنیکیں ملتی جلتی ہیں؛ متاثرین نہیں۔
guardrail اصل میں کیا روکتا ہے، ناپا ہوا
بہترین عوامی نمبر Anthropic کے constitutional classifiers سے آتا ہے، جو فروری 2025 میں شائع ہوا۔ ٹیم نے Claude کے گرد ان پٹس اور آؤٹ پٹس چھاننے کے لیے علیحدہ classifier ماڈل تربیت دیے، پھر ماڈل کے خلاف وہی خودکار jailbreak حملے چلائے، سکرین کے ساتھ اور بغیر۔
اس کمی کی قیمت نتیجے کا دوسرا آدھا حصہ ہے۔ classifiers نے فی سوال compute میں 23.7 فیصد اضافہ کیا اور بے ضرر درخواستوں کے انکار 0.38 فیصد پوائنٹ بڑھا دیے۔ خودکار ٹیسٹ سے پہلے، 183 لوگوں نے 3,000 گھنٹے سے زیادہ ایک bug bounty میں گزارے یہ ڈھونڈنے کے لیے کہ ایک universal jailbreak، یعنی ایک ایسا prompt جو تمام دس ممنوعہ سوالات کھول دے، اور کسی نے نہیں ڈھونڈا۔ ایک بعد کے عوامی مقابلے میں ایک ہفتے بعد ایک مل گیا۔ شرح صفر نہیں ہے؛ بات یہ ہے کہ یہ زیادہ تر کوششوں کی کامیابی سے چند کوششوں تک آ گئی۔
عملی طور پر "guardrails" کا یہی مطلب ہے: امکانات کا ایک ڈھیر۔ سکھائی گئی انکار عادت زیادہ تر روکتی ہے۔ ایک classifier باقی میں سے زیادہ تر پکڑتا ہے۔ انسانی نظرثانی بچی کھچی کا کچھ حصہ پکڑتی ہے۔ ہر تہہ کی قیمت تاخیر، پیسے یا غلط انکار ہوتی ہے، اور کمپنی اس منحنی خط پر ایک نقطہ چنتی ہے۔ کیا AI استعمال کرنا محفوظ ہے بتاتا ہے کہ یہ نقطہ آپ کو درپیش اصل خطرات کے لیے کیا معنی رکھتا ہے۔
شاید آپ کو دوبارہ لکھنے کی ضرورت تھی، jailbreak کی نہیں
بہت سے لوگ جو jailbreak تلاش کرتے ہیں دراصل کسی معقول چیز سے انکار کیے گئے تھے۔ ایک ڈاکٹر نے خوراک کے بارے میں پوچھا، ایک ناول نگار ولن لکھ رہا تھا، ایک سیکورٹی محقق حقیقی حملے کی وضاحت کر رہا تھا، ایک مورخ حقیقی متن کا حوالہ دے رہا تھا۔ اوپر دیا گیا 0.38 پوائنٹ اضافہ صرف classifier کا حصہ ہے؛ سکھائی گئی عادت اپنے طور پر انکار کرتی ہے، اور اس کی شرح کوئی شائع نہیں کرتا۔
دو چیزیں کام کرتی ہیں اور کوئی بھی jailbreak نہیں۔ پہلی context ہے۔ انکار ماڈل کا اندازہ ہے کہ درخواست نقصان دہ ہے، اور یہ بتانے والا ایک جملہ کہ آپ کون ہیں اور کیوں پوچھ رہے ہیں اس اندازے کو بدل دیتا ہے: "میں ایک فارماسسٹ ہوں جو بچوں کی خوراک چیک کر رہا ہوں" خالی سوال سے مختلف ان پٹ ہے۔ دوسری ماڈل ہے۔ کمپنیاں اپنی حدیں مختلف جگہوں پر کھینچتی ہیں، اور جس درخواست کو ایک ماڈل انکار کرتا ہے وہ اکثر دوسرے ماڈل سے عام سمجھ کر جواب دی جاتی ہے۔ ایک multi-model workspace میں یہ صرف picker بدلنے کا کام ہے جس کی قیمت دوسرے ماڈل کا اپنا درجہ ہے، Whizi AI کے لیے 1 کریڈٹ یا Claude Sonnet 5 کے لیے 10، اور AI ماڈل کیسے چنیں وہ فرق بتاتا ہے جو انکار سے آگے جاتے ہیں۔
کیا کام نہیں کرتا، اور Whizi کس چیز میں مدد نہیں کرے گا: ایسے prompts جو کسی provider کی پالیسی شکست دینے کے لیے بنائے گئے ہوں۔ Whizi پر ہر ماڈل OpenRouter اور روٹ کیے گئے provider کے ذریعے چلتا ہے، اس لیے اس provider کی سیفٹی تہیں اور استعمال کی پالیسی ہر پیغام پر لاگو ہوتی ہیں، اور کامیاب jailbreak دونوں کمپنیوں میں پالیسی کی خلاف ورزی ہے۔ جائز ضرورت، ایک جائز سوال کا صاف جواب، سیدھا پوچھنے سے پوری ہوتی ہے، اور اگر انکار ہو تو مختلف پالیسی والے ماڈل سے پوچھنے سے۔
jailbreaking کہاں جا رہی ہے
شائع شدہ کام میں تین تبدیلیاں پہلے سے نظر آ رہی ہیں۔ Classifier تہیں معیاری بن رہی ہیں، اور ان کی غلط انکار کی شرح وہ نمبر ہے جس پر نظر رکھنی چاہیے، کیونکہ ایسا محافظ جو فارماسسٹ کو روکے وہ محافظ ہے جس کے گرد لوگ راستہ نکال لیتے ہیں۔ اوپن ویٹ ماڈلز، جنہیں اوپن سورس LLM گائیڈ بیان کرتا ہے، fine-tuning کے ذریعے ان کی انکار ٹریننگ ہٹائی جا سکتی ہے، اس لیے ان ماڈلز کے لیے guardrail وہاں ہے جہاں وہ ہوسٹ کیے گئے ہیں، وزن میں نہیں۔ اور ایجنٹس داؤ بڑھا دیتے ہیں: ایک jailbreak شدہ چیٹ بوٹ کچھ ایسا کہتا ہے جو اسے نہیں کہنا چاہیے، جبکہ ٹولز والا jailbreak شدہ ایجنٹ کچھ کر گزرتا ہے، یہی وجہ ہے کہ عمل سے پہلے تصدیقی قدم کسی بھی انکار سے زیادہ اہم ہے۔
- انکار کو ماڈل کے ارادے کے بارے میں اندازہ سمجھیں، اور دوبارہ کوشش سے پہلے ایک جملہ context شامل کریں
- جب ماڈل کسی معقول درخواست سے انکار کرے، مختلف ماڈل سے پوچھیں؛ کمپنیاں حد مختلف جگہ کھینچتی ہیں
- کمپنیوں کے سیفٹی دعوے شرح کے طور پر پڑھیں، اور حملے کی کامیابی کے نمبر کے ساتھ غلط انکار کا نمبر بھی دیکھیں
- شائع شدہ jailbreak prompts استعمال نہ کریں؛ یہ چند ہفتوں میں ٹھیک کر دیے جاتے ہیں اور ہر provider کی شرائط کی خلاف ورزی کرتے ہیں
- ٹولز والی کسی بھی چیز کے لیے، عمل سے پہلے تصدیقی قدم کی فکر کریں، انکار سے زیادہ
عمومی سوالات
AI کو jailbreak کرنے کا کیا مطلب ہے؟
کسی ماڈل سے وہ آؤٹ پٹ نکلوانا جسے اس کی سیفٹی ٹریننگ روکنے کے لیے بنی ہے، ایک بنائے گئے prompt کے ذریعے: رول پلے کردار، فرضی فریمنگ، انکوڈ شدہ درخواست، یا سینکڑوں مثالی مکالمے۔ یہ اس لیے کام کرتا ہے کہ انکار سخت اصول نہیں بلکہ سکھائی گئی عادت ہے، تو ایسا prompt جو تعمیل کو انکار سے زیادہ ممکن دکھائے گزر جاتا ہے۔
کیا AI jailbreaking غیرقانونی ہے؟
یہ ہر بڑی کمپنی کی استعمال کی پالیسی کی خلاف ورزی ہے اور اکاؤنٹ بند ہو سکتا ہے؛ یہ غیرقانونی ہے یا نہیں یہ آؤٹ پٹ کے استعمال اور آپ کے مقام پر منحصر ہے۔ کمپنیاں اس کے لیے bug bounty چلاتی ہیں، اس لیے jailbreak ڈھونڈ کر رپورٹ کرنا خوش آمدید ہے، جبکہ اسے نقصان دہ مواد حاصل کرنے کے لیے استعمال کرنا نہیں۔
DAN jailbreak کیا تھا؟
DAN، "Do Anything Now"، دسمبر 2022 سے Reddit پر گردش کرنے والا ایک رول پلے prompt تھا جو ChatGPT کو بغیر اصول والا کردار ادا کرنے کو کہتا تھا۔ یہ اس لیے کام کرتا تھا کہ انکار کا رویہ اسسٹنٹ کے کردار سے جڑا تھا، اور یہ چند ہفتوں سے مہینوں میں کام کرنا چھوڑ گیا جب OpenAI نے ماڈل اپڈیٹ کیا۔ ہر نیا ورژن یہی چکر دہراتا رہا۔
AI guardrails کتنے مؤثر ہیں؟
Anthropic کے constitutional classifiers پیپر نے اسے ناپا: خودکار jailbreak کوششوں میں سے 86 فیصد خالص ماڈل کے خلاف کامیاب ہوئیں اور 4.4 فیصد ان پٹس اور آؤٹ پٹس چھاننے والے classifiers کے ساتھ ماڈل کے خلاف، فی سوال 23.7 فیصد زیادہ compute اور بے ضرر درخواستوں کے انکار میں 0.38 پوائنٹ اضافے پر۔ Guardrails شرح کم کرتے ہیں؛ کوئی کمپنی صفر کا دعویٰ نہیں کرتی۔
جب AI کسی معقول درخواست سے انکار کرے تو کیا کرنا چاہیے؟
Context شامل کریں، پھر ماڈل بدلیں۔ ایک جملہ جس میں بتایا جائے کہ آپ کون ہیں اور کیوں پوچھ رہے ہیں ماڈل کے ارادے کے اندازے کو بدل دیتا ہے۔ اگر پھر بھی انکار ہو تو اکثر کوئی دوسری کمپنی کا ماڈل جواب دے دیتا ہے، کیونکہ ہر ایک اپنی حد مختلف طرح کھینچتا ہے۔ Whizi میں یہ اسی گفتگو میں ماڈل بدلنا ہے۔ شائع شدہ jailbreak prompts جلدی ٹھیک کر دیے جاتے ہیں اور provider کی شرائط کی خلاف ورزی کرتے ہیں۔
