Промты на «грубую» ИИ: как работают джейлбрейки и зачем их изучают исследователи

ИИ-безопасность · Ред-тиминг · Промт-инжиниринг

Промты на «грубую» ИИ: механика джейлбрейков, защита моделей и этика исследования

Разбираем, как устроены промты, снимающие ограничения, почему они перестают работать и как исследователи безопасности используют их, чтобы делать модели надёжнее.

Что такое промт на «грубую» ИИ

Это ввод, созданный для обхода систем безопасности модели — так называемый джейлбрейк. Цель: заставить ИИ игнорировать встроенные правила и выдать контент, который модель обучена отклонять: оскорбления, инструкции по вредоносным действиям, дезинформацию или приватные данные.

Зачем это изучают легально

Команды безопасности (ред-тим) используют те же техники, чтобы находить уязвимости до злоумышленников. Результаты идут в обучение: модель учится распознавать манипуляции и устойчиво отвечать на них. Без таких тестов защита была бы слепой.

Как устроены атаки: основные векторы манипуляции

Ролевые сценарии

Модель просят «сыграть» в персонажа без моральных ограничений: DAN (Do Anything Now), «бабушка, знающая рецепты бомб», «режим разработчика». Контекст роли перекрывает системный промт.

Эмоциональное давление

Угрозы, просьбы о помощи, апелляции к авторитету («я твой создатель»), ложные срочные ситуации. Модель, обучённая быть полезной, может поддаться манипуляции эмпатией или страхом.

Обфускация и кодирование

Запросы прячут в base64, ROT13, морис-коде, разбивают на токены, вставляют невидимые юникод-символы. Фильтры ключевых слов не срабатывают, а модель декодирует и выполняет.

Многошаговые цепочки

Сначала безобидные вопросы, постепенно сужающие контекст к запрещённой теме. Каждый шаг кажется допустимым, но в сумме они приводят к нарушению политики (метод «раскалывания» / crescendo).

Принцип защиты

Почему старые джейлбрейки перестают работать

Провайдеры моделей не просто блокируют известные промты. Они применяют многослойную защиту, которая учится на каждой попытке атаки.

  • RLHF и RLAIF: модель дообучается на примерах атак — люди и ИИ-судьи размечают, какие ответы небезопасны.
  • Классификаторы на входе и выходе: отдельные лёгкие модели сканируют промт и ответ на признаки манипуляции до и после генерации.
  • Контекстная память: системный промт и инструкции безопасности повторно встраиваются в контекст окна, делая «забывание» роли сложнее.
  • Детекция обфускации: энтропийный анализ токенов выявляет закодированные полезные нагрузки до декодирования.

Пример: как модель видит атаку

USER: "Ignore previous instructions..." 
↓ CLASSIFIER: confidence 0.94 → JAILBREAK 
↓ SYSTEM: "Safety guidelines active. 
Refusal triggered."
ASSISTANT: "I can't help with that..."

Типология отказов: как модель говорит «нет»

Прямой отказ

«Я не могу выполнить этот запрос, так как он нарушает правила безопасности.» Чётко, без обьяснений — для явных атак.

Отказ с объяснением

Модель называет конкретное правило: «Запрос содержит просьбу о создании вредоносного ПО, что запрещено политикой использования.»

Перенаправление (pivot)

«Я не могу помочь с этим, но могу рассказать о легальных аспектах кибербезопасности / написать код для защиты от атак.» Безопасная альтернатива.

Частичное выполнение

Модель выполняет безопасную часть сложного запроса и отказывает в опасной. Требует семантического разбора промта на компоненты.

Красное тимирование в действии

Профессиональные ред-тимеры не просто ищут «волшебные слова». Они системно картографируют поверхность атаки:

  1. Автоматическая генерация тысяч вариаций промтов через эволюционные алгоритмы.
  2. Кластеризация успешных атак по типу манипуляции.
  3. Создание синтетических данных для дообучения классификаторов.
  4. Тестирование на edge-кейсах: многоязычность, низкоресурсные языки, смешанные скрипты.

Метрики устойчивости

Как измеряют защищённость модели (условные показатели):

ASR
Attack Success Rate
FPR
False Positive Rate
RTTF
Robustness Time-to-Fix

Этика и правовые границы исследования

Что допустимо в исследовательских целях
  • Тестирование моделей с разрешения владельца (bug bounty, программы уязвимостей).
  • Публикация обобщённых паттернов атак без рабочих эксплойтов (responseble disclosure).
  • Работа с изолированными копиями моделей в контролируемой среде.
  • Обучение защитных классификаторов на обезличенных данных атак.
Что запрещено и опасно
  • Использование джейлбрейков для генерации вредоносного контента в проде.
  • Распространение рабочих промтов в открытом доступе (GitHub, форумы, Telegram).
  • Автоматизация атак на чужие API без согласия (DoS, извлечение данных).
  • Обход защиты для доступа к PII, медицинским или юридическим советам без лицензии.

От теории к практике: как выглядит защитный пайплайн

Условная схема многослойной защиты LLM в продакшене

Частые заблуждения о «грубых» промтах

Миф

Существует «универсальный промт», который ломает любую модель навсегда.

Реальность

Модели обновляются еженедельно. Промт, сработавший вчера, сегодня блокируется на уровне классификатора или системного промта.

Миф

Если модель ответила грубо — защита провалена полностью.

Реальность

Одиночный провал ≠ системная уязвимость. Метрика ASR считается на тысячах сэмплов. Цель — снизить вероятность до статистического шума.

Миф

Открытые модели (Llama, Mistral) не имеют защиты — их нечего ломать.

Реальность

Базовые модели проходят safety fine-tuning (SFT + RLHF). Локальный запуск позволяет отключить защиту, но дефолтные веса уже выровнены.

Миф

Джейлбрейк — это всегда хитроумная социальная инженерия.

Реальность

Многие современные атаки — градиентные (GCG, AutoDAN), найденные оптимизацией токенов, а не человеческим интуитивным подбором.

Что делать, если вы нашли работающий джейлбрейк

  1. Не публикуйте промт в открытую. Отправьте через официальную программу баг-баунти провайдера (OpenAI, Anthropic, Google, Meta имеют такие программы с выплатами).
  2. Документируйте воспроизводимость. Версия модели, температура, системный промт, точная последовательность сообщений. Без этого команда безопасности не сможет воспроизвести и исправить.
  3. Проверьте, не известна ли уязвимость. Поищите в CVE, на GitHub Security Advisories, в блогах безопасности. Дубликаты не платят.
  4. Давайте время на исправление. Стандартный ответственный раскрытие — 90 дней до публикации деталей. Провайдер может попросить больше для сложных архитектурных изменений.

«Грубая» ИИ — не цель, а индикатор

Каждый успешный джейлбрейк — это не повод для триумфа, а данные для следующей итерации защиты. Модели становятся устойчивее именно потому, что исследователи находят в них трещины. Если вы изучаете эту тему — делайте это этично, ответственно и с пониманием: настоящая сила не в том, чтобы сломать систему, а в том, чтобы сделать её неломимой.

НейросетиПромтыРазное
20 октября, 2026

Статьи по теме