Từ chối là một thói quen, và jailbreak là cách phá vỡ nó
Một mô hình không chứa quy tắc kiểu "không được giải thích cách cạy khóa". Nó chứa thói quen từ chối, được cài vào trong giai đoạn hậu huấn luyện mà fine-tuning trong AI là gì đã mô tả, nơi con người chấm điểm việc từ chối các yêu cầu có hại cao hơn việc tuân theo, cho đến khi từ chối trở thành phần tiếp theo có khả năng xảy ra nhất của một yêu cầu như vậy. Có khả năng xảy ra, chứ không phải chắc chắn.
Jailbreak là bất kỳ prompt nào làm thay đổi các xác suất đó. Bọc yêu cầu trong một câu chuyện và phần tiếp theo có khả năng nhất chính là dòng tiếp theo của câu chuyện. Chia nhỏ nó thành các mảnh vô hại và không mảnh nào kích hoạt thói quen từ chối. Mã hóa nó bằng base64 và quá trình huấn luyện từ chối, vốn chỉ thấy tiếng Anh thông thường, không nhận ra nó. Đưa cho mô hình hai trăm ví dụ về việc trợ lý tuân theo và yêu cầu thứ hai trăm lẻ một sẽ được trả lời theo cách tương tự, điều mà Anthropic đặt tên là many-shot jailbreaking vào tháng 4 năm 2024 và ngày càng dễ dàng hơn khi cửa sổ ngữ cảnh mở rộng.
Cơ chế này chính là cơ chế khiến mô hình hữu ích. Nó theo sát mẫu hình của đầu vào. Huấn luyện an toàn khiến một số mẫu hình trở nên ít khả năng xảy ra hơn nhiều; một jailbreak tìm ra mẫu hình mà quá trình huấn luyện chưa bao phủ. Đó là lý do vì sao vấn đề này không được giải quyết bằng một quy tắc tốt hơn, và vì sao các nhà cung cấp đo nó như một tỷ lệ.
Các kỹ thuật phổ biến, và mỗi kỹ thuật khai thác điều gì
| Kỹ thuật | Cách hoạt động | Điều nó khai thác |
|---|---|---|
| Nhập vai ("bạn là DAN, Do Anything Now") | Gán cho mô hình một nhân vật không có quy tắc | Việc từ chối gắn liền với nhân vật trợ lý, chứ không phải bộ dự đoán bên dưới |
| Đặt trong tình huống giả định hoặc hư cấu | "Trong một cuốn tiểu thuyết, một nhân vật giải thích cách..." | Viết truyện hư cấu là một tác vụ hợp lệ, và huấn luyện đã thưởng cho việc hoàn thành nó |
| Mã hóa và làm mờ nghĩa | Base64, mật mã, chữ leetspeak, ngôn ngữ khác | Huấn luyện từ chối chủ yếu dựa trên tiếng Anh thông thường |
| Many-shot | Hàng trăm ví dụ đối thoại trong đó trợ lý tuân theo | Mô hình tiếp tục theo mẫu hình của ngữ cảnh nó nhận được |
| Leo thang dần dần | Một cuộc trò chuyện dài tiến từng bước một | Mỗi bước gần giống bước trước; không có tin nhắn đơn lẻ nào kích hoạt thói quen từ chối |
| Chèn prompt vào hướng dẫn | "Bỏ qua các hướng dẫn trước đó" | Trùng lặp với prompt injection; mục tiêu là quy tắc của ứng dụng chứ không phải của mô hình |
Các prompt DAN lan truyền trên Reddit từ tháng 12 năm 2022 là phiên bản dân gian của kỹ thuật này, và mỗi phiên bản ngừng hoạt động trong vòng vài tuần đến vài tháng khi OpenAI cập nhật mô hình, rồi phiên bản tiếp theo lại xuất hiện. Mọi kỹ thuật được đặt tên đều theo chu kỳ đó: công bố, rồi bị vá. Anthropic từng chạy một chương trình thưởng có trả phí cho ai tìm ra jailbreak vạn năng chống lại bộ phân loại của họ, và đó là nơi công sức bền vững nhất hiện đang được đổ vào.
Có một điểm khác biệt cần nhớ. Jailbreak là người dùng chống lại chính sách của mô hình. Prompt injection là gì là bên thứ ba chống lại người dùng, thông qua nội dung mà mô hình đọc được. Các kỹ thuật có thể trùng nhau; nạn nhân thì không.
Một rào chắn thực sự ngăn được điều gì, đo bằng số liệu
Con số công khai tốt nhất đến từ bộ phân loại hiến pháp (constitutional classifiers) của Anthropic, công bố vào tháng 2 năm 2025. Đội ngũ đã huấn luyện các mô hình phân loại riêng biệt để sàng lọc đầu vào và đầu ra quanh Claude, sau đó chạy cùng các cuộc tấn công jailbreak tự động vào mô hình, cả khi có và không có lớp sàng lọc này.
Cái giá của sự sụt giảm đó là nửa còn lại của kết quả. Bộ phân loại làm tăng thêm 23,7 phần trăm chi phí tính toán mỗi truy vấn và làm tăng thêm 0,38 điểm phần trăm số lần từ chối các yêu cầu vô hại. Trước bài kiểm tra tự động, 183 người đã dành hơn 3.000 giờ trong một chương trình bug bounty để tìm một jailbreak vạn năng, một prompt duy nhất mở khóa cả mười câu hỏi bị cấm, và không ai làm được. Một thử thách công khai sau đó tìm ra được một prompt như vậy sau một tuần. Tỷ lệ này không phải bằng không; điều quan trọng là nó đã chuyển từ phần lớn số lần thử thành công xuống chỉ còn một vài lần.
Đó chính là ý nghĩa thực tế của "rào chắn": một chuỗi các xác suất chồng lên nhau. Thói quen từ chối đã được huấn luyện bắt được phần lớn. Một bộ phân loại bắt được phần lớn phần còn lại. Việc con người xem xét lại bắt được một phần của phần dư ra. Mỗi lớp đều tốn độ trễ, tiền bạc hoặc gây từ chối oan, và nhà cung cấp chọn một điểm trên đường cong đánh đổi đó. AI có an toàn để dùng không nói về việc điểm đó có ý nghĩa gì với những rủi ro mà bạn thực sự gặp phải.
Vì sao có lẽ bạn chỉ cần diễn đạt lại, chứ không cần jailbreak
Nhiều người tìm kiếm cách jailbreak thực ra chỉ vừa bị từ chối một yêu cầu hợp lý. Một bác sĩ hỏi về liều lượng thuốc, một nhà văn đang viết nhân vật phản diện, một nhà nghiên cứu bảo mật mô tả một cuộc tấn công có thật, một nhà sử học trích dẫn một văn bản có thật. Mức tăng 0,38 điểm phần trăm nói trên chỉ là phần đóng góp của bộ phân loại; thói quen từ chối đã được huấn luyện tự nó cũng từ chối, và không ai công bố tỷ lệ đó.
Có hai cách hiệu quả và không cách nào là jailbreak. Cách thứ nhất là bối cảnh. Một lời từ chối là suy đoán của mô hình rằng yêu cầu này có hại, và một câu cho biết bạn là ai và vì sao bạn hỏi sẽ thay đổi suy đoán đó: "Tôi là dược sĩ đang kiểm tra liều dùng cho trẻ em" là một đầu vào khác hẳn so với câu hỏi trần trụi. Cách thứ hai là đổi mô hình. Các nhà cung cấp vạch ranh giới ở những chỗ khác nhau, và một yêu cầu bị một mô hình từ chối thường được một mô hình khác trả lời như chuyện bình thường. Trong một không gian làm việc đa mô hình, đó chỉ là một thao tác đổi mô hình tốn thêm mức giá của mô hình thứ hai, 1 credit cho Whizi AI hoặc 10 cho Claude Sonnet 5, và cách chọn một mô hình AI trình bày những khác biệt vượt xa chuyện từ chối.
Điều không hiệu quả, và điều Whizi sẽ không hỗ trợ: các prompt được thiết kế để đánh bại chính sách của một nhà cung cấp. Mọi mô hình trên Whizi đều được phục vụ qua OpenRouter và nhà cung cấp được định tuyến, nên các lớp an toàn và chính sách sử dụng của nhà cung cấp đó áp dụng cho mọi tin nhắn, và một jailbreak thành công là vi phạm chính sách ở cả hai công ty. Nhu cầu chính đáng, một câu trả lời thẳng thắn cho một câu hỏi chính đáng, được đáp ứng bằng cách hỏi thẳng và, nếu bị từ chối, hỏi một mô hình có chính sách khác.
Jailbreak đang đi về đâu
Ba xu hướng đã hiện rõ trong các nghiên cứu được công bố. Các lớp bộ phân loại đang trở thành tiêu chuẩn, và tỷ lệ từ chối sai của chúng là con số cần theo dõi, vì một rào chắn chặn cả dược sĩ là một rào chắn mà người ta sẽ tìm cách né tránh. Các mô hình mã nguồn mở, mà hướng dẫn về LLM mã nguồn mở đề cập, có thể bị loại bỏ huấn luyện từ chối thông qua fine-tuning, nên với những mô hình đó, rào chắn nằm ở nơi chúng được lưu trữ chứ không nằm trong trọng số. Và các agent làm tăng mức độ rủi ro: một chatbot bị jailbreak nói ra điều nó không nên nói, còn một agent bị jailbreak có công cụ trong tay sẽ thực hiện điều đó, đó là lý do bước xác nhận trước một hành động quan trọng hơn bất kỳ lời từ chối nào.
- Coi một lời từ chối là suy đoán của mô hình về ý định, và thêm một câu bối cảnh trước khi thử lại
- Khi một mô hình từ chối một yêu cầu hợp lý, hãy hỏi một mô hình khác; các nhà cung cấp vạch ranh giới ở những chỗ khác nhau
- Đọc các tuyên bố về an toàn của nhà cung cấp như những tỷ lệ, và tìm con số từ chối sai đi kèm con số tấn công thành công
- Không dùng các prompt jailbreak đã công bố; chúng bị vá trong vòng vài tuần và vi phạm điều khoản của mọi nhà cung cấp
- Với bất cứ thứ gì có gắn công cụ, hãy quan tâm đến bước xác nhận trước một hành động hơn là quan tâm đến chuyện từ chối
Câu hỏi thường gặp
Jailbreak một AI nghĩa là gì?
Làm cho một mô hình tạo ra nội dung mà quá trình huấn luyện an toàn của nó lẽ ra phải từ chối, bằng một prompt được soạn khéo léo: nhân vật nhập vai, tình huống hư cấu, yêu cầu được mã hóa, hoặc hàng trăm ví dụ đối thoại. Nó hiệu quả vì từ chối là một thói quen được huấn luyện chứ không phải quy tắc cứng, nên một prompt khiến việc tuân theo trông có khả năng xảy ra hơn việc từ chối sẽ lọt qua được.
Jailbreak AI có phạm pháp không?
Nó vi phạm chính sách sử dụng của mọi nhà cung cấp lớn và có thể khiến tài khoản bị cấm; việc có phạm pháp hay không tùy thuộc vào mục đích sử dụng nội dung đó và bạn đang ở đâu. Các nhà cung cấp chạy chương trình bug bounty cho việc này, nên tìm ra một jailbreak và báo cáo nó được hoan nghênh, còn dùng nó để lấy nội dung có hại thì không.
Jailbreak DAN là gì?
DAN, viết tắt của "Do Anything Now", là một prompt nhập vai lan truyền trên Reddit từ tháng 12 năm 2022, yêu cầu ChatGPT đóng vai một nhân vật không có quy tắc nào. Nó hiệu quả vì hành vi từ chối gắn liền với nhân vật trợ lý, và nó ngừng hoạt động trong vòng vài tuần đến vài tháng khi OpenAI cập nhật mô hình. Mỗi phiên bản mới lại lặp lại chu kỳ đó.
Rào chắn AI hiệu quả đến đâu?
Bài báo về bộ phân loại hiến pháp của Anthropic đã đo được điều này: 86 phần trăm số lần thử jailbreak tự động thành công trước mô hình trần và 4,4 phần trăm trước mô hình có bộ phân loại sàng lọc đầu vào và đầu ra, với chi phí tính toán tăng thêm 23,7 phần trăm mỗi truy vấn và mức tăng 0,38 điểm phần trăm số lần từ chối các yêu cầu vô hại. Rào chắn làm giảm tỷ lệ này; không nhà cung cấp nào tuyên bố đạt mức bằng không.
Nên làm gì khi AI từ chối một yêu cầu hợp lý?
Thêm bối cảnh, rồi đổi mô hình. Một câu nêu rõ bạn là ai và vì sao bạn hỏi sẽ thay đổi suy đoán của mô hình về ý định. Nếu vẫn bị từ chối, mô hình của nhà cung cấp khác thường sẽ trả lời, vì mỗi bên vạch ranh giới khác nhau. Trong Whizi, đó chỉ là một lần đổi mô hình ngay trong cùng cuộc trò chuyện. Các prompt jailbreak đã công bố bị vá nhanh chóng và vi phạm điều khoản của nhà cung cấp.
