Jailbreak modeli językowych: jak obchodzone są zabezpieczenia AI

Co to jest jailbreak modelu językowego

Jailbreak to technika obchodzenia zabezpieczeń wbudowanych w modele językowe przez ich twórców. OpenAI, Anthropic, Google i inni producenci modeli uczą swoje systemy, by odmawiały generowania pewnych typów treści — instrukcji do budowy broni, treści seksualnych, mowy nienawiści, porad dotyczących czynów karanych. Jailbreak polega na znalazieniu sposobu, by mimo tych zabezpieczeń wydobyć z modelu treści zakazane.

Zjawisko to ma długą historię w świecie bezpieczeństwa informatycznego — termin wziął się od łamania zabezpieczeń iPhone’a, by instalować nieautoryzowane aplikacje. W kontekście modeli językowych techniki jailbreak zaczęły pojawiać się masowo już w grudniu 2022 roku, kilka tygodni po premierze ChatGPT.

Najpopularniejsze techniki jailbreak

Społeczność badaczy bezpieczeństwa i entuzjastów sztucznej inteligencji rozwinęła całą taksonomię technik ataku:

• Roleplay — proszenie modelu, by wcielił się w postać, która nie ma ograniczeń. Klasyczny przykład to „DAN” (Do Anything Now), w którym model występuje jako postać bez ograniczeń i odpowiada na dwa sposoby — standardowo i jako DAN.
• Hypothetical framing — sformułowanie pytania jako hipotetycznego: „Wyobraźmy sobie, że piszę powieść, w której bohater potrzebuje instrukcji do…”
• Translation attack — prośba o przetłumaczenie tekstu z języka, który model mniej modyfikuje bezpieczeństwem, na przykład z języka mało popularnego, a następnie powrót do polskiego.
• Code obfuscation — zapisanie zapytania jako kodu programistycznego, cipher text lub szyfrowania znaków, tak by model nie rozpoznał intencji.
• Multi-step jailbreak — dzielenie zapytania na wiele kroków, z których każdy indywidualnie wydaje się niegroźny, ale razem prowadzą do zakazanej odpowiedzi.
• Prefix injection — rozpoczęcie zapytania od fragmentu, który wygląda jak część poprawnej odpowiedzi, tak by model kontynuował z tego początku.

Badacze z Carnegie Mellon University udemonstrowali w 2023 roku automatyczne techniki jailbreak, które wykorzystują gradienty modelu do znalezienia sekwencji słów, która obchodzą zabezpieczenia. Ta praca pokazała, że jailbreak może być zautomatyzowany — nie wymaga kreatywności człowieka.

Ryzyko rzeczywiste — nie tylko teoria

Większość demonstracji jailbreak wygląda akademicko — model generuje treści, które można znaleźć w google. Ale rzeczywiste ryzyko rośnie, gdy modele zostają zintegrowane z systemami, które wykonują akcje:

• Agent wykonujący operacje finansowe — jailbreak może zmusić agenta do wykonania przelewu na konto napastnika.
• Bramy do baz danych — model może ujawnić treść ukrytych instrukcji systemowych, a także zawartość prywatnych baz danych, do których ma dostęp.
• Integracja z systemami poczty — model nodeListe wysłać e-mail od imienia użytkownika, który zostanie wykorzystany do dalszego ataku (np. phishing na jego kontaktach).
• Rozmowy z klientami — chatbot obsługi klienta zjailbroken może udzielić szkodliwych porad, albo naruszyć regulacje danej branży.

W 2024 roku badacze udemonstrowali atak, w którym chatbot firmy Chevrolet, obsługujący klientów na stronie internetowej, został zmuszony do sprzedaży samochodu za jednego dolara, a także do napisania wiersza o konkurencji. To banalny przykład, ale ilustruje, jak łatwo model można popchnąć do robienia rzeczy, które firma nigdy by nie autoryzowała.

Odpowiedź twórców modeli

Producenci modeli stosują kilka warstw obrony:

1. Reinforcement Learning from Human Feedback (RLHF) — model jest trenowany, by odmawiał szkodliwych pytań. Ale to rozwiązanie powierzchowne — model nie rozumie, dlaczego odmawia, więc dziwne sformułowania potrafią ominą ograniczenia.
2. System prompt — model dostaje instrukcję, by odmawiał pewnych kategorii pytań. Ale samo instrukcja jest podatna na techniques opisane wyżej.
3. Filtry wejścia i wyjścia — drugi model sprawdza, czy wejście użytkownika i wyjście modelu nie zawierają zakazanych treści. To najbardziej skuteczna warstwa, ale dodaje koszty i opóźnienia.
4. Constitutional AI — podejście Anthropic, w którym model sam ocenia swoje odpowiedzi na podstawie zestawu zasad. Stosunkowo skuteczne, ale nie odporne na ataki wielokrokowe.

Żadna z tych warstw nie daje stuprocentowej ochrony. Dopóki modele językowe pozostaną probabilistyczne — a nie oparte na rygorystycznych regułach — istnieje droga do obchodzenia zabezpieczeń.

Nowa fala: zautomatyzowany jailbreak

W 2024 i 2025 roku pojawiły się narzędzia, które automatyzują jailbreak. Badacze opublikowali projekty typu „GCG attack” — algorytm optymalizujący sekwencję słów, która maksymalizuje szansę obchodzenia zabezpieczeń modelu. To dramatycznie obniża barierę wejścia — atakujący nie musi już kreatywnie wymyślać sformułowań, po prostu uruchamia algorytm.

Automatyzacja jailbreak doprowadziła do zjawiska, w którym nowe modele są „rozbijane” w ciągu dni od premiery. Gdy Qwen, Llama czy Gemini wprowadzają nową wersję, społeczność natychmiast testuje ją pod kątem podatności, a skuteczne techniki są publikowane i replikowane.

Skutki dla biznesu

Dla firm używających modeli w sytuacjach klientowych jailbreak to realne ryzyko reputacyjne. Chatbot, który da się zmusić do obraźliwych wypowiedzi, porady naruszające prawo albo udostępnienia prywatnych danych, staje się tematem newsów i pozwów. W 2024 roku kilka firm wycofało chatboty po demonstracjach jailbreak, które stały się viralem.

Rozsądna odpowiedzialność dzielona jest między twórcę modelu a integratora aplikacji. Producent modelu dostarcza zabezpieczenia, ale to na integratorze leży warstwa aplikacji — filtry, monitorowanie, ograniczenia na poziomie akcji. Firmy, które ufają, że model sam się obroni, narażą się na incydenty.

W jakim kierunku idziemy

Jailbreak to kategoria problemu, który prawdopodobnie nigdy nie zostanie rozwiązany w sposób absolutny. Ale podobnie jak w przypadku bezpieczeństwa aplikacji webowych, można zminimalizować ryzyko do akceptowalnego poziomu. Kluczem jest warstwowa obrona i świadomość, że model językowy, choć przydatny, nie jest systemem, któremu można ufać ślepo.

Traktowanie modeli językowych jako nieomylnej wyroczni to najczęstszy błąd integratorów aplikacji. Prawda jest inna — to systemy probabilistyczne, podatne na manipulację semantyczną, i jako takie wymagają monitoring, filtrowania i ludzkiego nadzoru.