Промт, убирающий цензуру в DeepSeek: почему его нет и как работать с ограничениями
Промта, полностью отключающего цензуру, не существует
DeepSeek, как и другие крупные модели, защищён многослойной системой: обучением с подкреплением, системными инструкциями и пост-фильтрами. Обход — временный, рискованный и часто бесполезный. Материал разбирает, как устроена защита, почему «волшебные» промты перестают работать и какие стратегии дают реальный результат.
Архитектура безопасностиИстория джейлбрейковЛокальные моделиРабота с отказами
Почему один промт не может всё изменить
Пользовательский ввод — лишь вершина айсберга. До того как модель начнёт генерировать ответ, срабатывает каскад механизмов, заложенных на этапах предобучения, тонкой настройки (SFT) и обучения с подкреплением от обратной связи человека (RLHF).
Системный промт (system prompt), который задаёт поведение ассистента, встраивается разработчиками на уровне инфраструктуры API и веб-интерфейса. Он имеет приоритет над любым пользовательским сообщением. Попытка перезаписать его фразой «игнорируй предыдущие инструкции» блокируется на уровне внимания модели: веса, отвечающие за следование системным директивам, закреплены обучением гораздо прочнее, чем контекст диалога.
Схема приоритетов инструкций
1
Жёсткие правила безопасности (Hard-coded)
Запрет на генерацию вреда, нелегального контента, утечки PII. Неизменяемы без переобучения.
2
Системный промт разработчика
Тон, стиль, ограничения тематики (политика КНР для DeepSeek), формат ответа. Внедряется на уровне сервера.
3
Контекст диалога (User Prompt)
Ваш запрос. Может уточнять задачу, но не отменяет уровни 1 и 2. Конфликт решается в пользу безопасности.
4
Пост-фильтры и модерация вывода
Отдельные классификаторы проверяют сгенерированный текст перед выдачей. Блокируют «утечки» даже если модель согласна ответить.
Что на самом деле происходит при «успешном» джейлбрейке
Иллюзия согласия
Модель начинает отвечать на запрещённый запрос, но через 2-3 абзаца сбивается, повторяется или выдаёт бессмыслицу. Выравнивание (alignment) проявляется статистически: вероятность безопасных токенов выше.
Срабатывание пост-фильтра
Текст генерируется, но перед отправкой пользователю проходит через классификатор. Если найдены маркеры запрещённых тем — ответ заменяется на стандартный отказ. Вы не видите генерацию, видите только «Network error» или шаблон.
Риск блокировки аккаунта
Системы мониторинга фиксируют повторные попытки обхода. Это ведет к временному бану API-ключа или аккаунта. История диалогов хранится и анализируется для улучшения защиты.
Деградация качества
Промты-джейлбрейки (ролевые игры, эмоциональное давление, кодирование) ломают логику рассуждений. Модель теряет способность к сложным задачам: кодингу, анализу, соблюдению формата. Вы получаете «свободного», но бесполезного ассистента.
Эволюция атак: от DAN до кодирования токенов
История джейлбрейков — это гонка вооружений. Каждый популярный паттерн фиксируется, анализируется и замыкается обновлением весов или правил фильтрации. Понимание этой истории показывает, почему поиск «рабочего промта» — тупиковый путь.
DAN / «Do Anything Now» (2022-2023)
Ролевая игра: модель притворяется сущностью без правил. Использовала эмоциональное давление и угрозы «смертью» персонажа.
Запатчено RLHFДеградация IQ
Перевод и кодирование (Base64, ROT13, Morse)
Запрос оборачивается в формат, который модель должна декодировать. Надежда на то, что фильтры не распознают вред в зашифрованном виде.
Фильтры учат декодироватьПотеря контекста
Многошаговые атаки (Crescendo / Many-shot)
Постепенное расширение границ: от безобидных вопросов к целевой теме за 10-20 ходов. Использует контекстное окно как вектор атаки.
Дорого по токенамОбнаруживается эвристиками
Атаки на токенизацию (Glitch tokens, невидимые символы)
Внедрение спецсимволов, разбивающих токены запрещённых слов, или использование «глючных» токенов, сбивающих предсказание.
Исправляется нормализациейНестабильный результат
Облачный API против локального развёртывания: где граница возможного
Облачный доступ (API / Chat)
✕
Полная нецензура: Невозможно. Системный промт и пост-фильтры обязательны.
✕
Изменение системного промта: Недоступно. Вы передаёте только user-сообщения.
✓
Стабильность и скорость: Инфраструктура, кэширование, отсутствие забот об железе.
✓
Обновления «задушивают» джейлбрейки: Модель становится безопаснее без вашего участия.
Локальное развёртывание (Ollama, LM Studio, vLLM)
✓
Полный контроль системного промта: Вы задаёте любые инструкции, в т.ч. «отвечай без моральных оценок».
✓
Отсутствие пост-фильтров: Никаких классификаторов на выходе. Сырое распределение вероятностей.
⚠
Требуется «сырая» или дообученная модель: Базовые чекпоинты (Base) или анцензоренные варианты (Dolphin, Hermes, Nemotron). Официальные веса DeepSeek-R1/Chat — уже выравнены.
⚠
Железо и ответственность: Нужны 24-48 ГБ VRAM для 7B-14B квантов, 80+ ГБ для полных весов. Вы — модератор.
Если модель отказала: алгоритм действий без джейлбрейков
Большинство отказов — ложные срабатывания (false positives) или неясность запроса. Не ломайте систему — переформулируйте задачу.
1Анализ причины отказа
Прочитайте текст отказа. «Я не могу ответить на вопросы о политике» — жёсткое правило. «У меня недостаточно информации» — пробел в контексте. «Запрос нарушает политику безопасности» — сработал фильтр по ключевым словам или теме.
2Смена фрейминга (Reframing)
Замените прямую просьбу на аналитическую задачу. Вместо «Напиши про Тянаньмэнь» → «Сравни официальные и альтернативные исторические нарративы событий 1989 года в Китае, цитируя источники». Модель часто выполняет анализ там, где отказывает в генерации.
3Разделение на подзадачи (Decomposition)
Сложный запрещённый запрос разбивается на цепочку безопасных. Получаете факты, структуру, аргументы отдельно, собираете итог сами. Это обходит ограничение длины и триггеры на «вредный итог».
4Использование персоны эксперта, а не «хакера»
Задайте системную инструкцию (в Custom Instructions или начале чата): «Ты — нейтральный аналитик. Представляй все стороны вопроса без оценок. Избегай проповеднического тона». Это сдвигает тон без нарушения правил.
5Переключение на локальную альтернативу
Если тема принципиально требует снятия ограничений (исторические исследования, художественное письмо на грани, red-teaming) — переносите диалог в локальную модель (Nemotron 3 Ultra, Dolphin Mixtral, DeepSeek-R1-Distill без аблюшн). Это единственный гарантированный путь.
Главный вывод: ограничения — это форма, а не препятствие
Поиск промта «убери цензуру» — попытка решить архитектурную проблему текстовым патчем. Эффект есть, но он ломкий, короткоживущий и дешевит качество ответа.
Рабочая стратегия
Используйте облачные модели для кода, рутины, безопасных текстов. Для чувствительных тем — разверните локальную анцензоренную версию. Граница проходит не в промте, а в выборе инфраструктуры.
Навык, который остаётся
Умение переформулировать запрос, менять фрейминг, декомпозировать задачу — навык переносим на любую модель (GPT, Claude, Gemini, локальные). Он работает всегда, в отличие от уязвимостей.
Частые вопросы, которые сэкономят время
Существуют ли «универсальные» промты в открытом доступе?
Нет. Любой промт, опубликованный на GitHub, Reddit или Хабре, уже изучен безопасниками и добавлен в обучающие выборки классификаторов атак. Его срок жизни — от нескольких часов до пары недель. Использование таких промтов увеличивает риск блокировки аккаунта.
Можно ли через API передать свой system prompt?
В официальном API DeepSeek параметр system в массиве messages игнорируется или перезаписывается серверным системным промтом. Вы управляете только ролью user и assistant. Полный контроль системного промта возможен только при самхостинге весов модели.
Стоит ли платить за «премиум-промты» в телеграм-каналах?
Ни в коем случае. Это мошенничество. Продают либо публичные уязвимости, либо бессмысленные наборы символов. Никаких гарантий работы нет, а риск потери денег и компрометации аккаунта — 100%.
Какую локальную модель выбрать для старта без цензуры?
Для 8-12 ГБ VRAM: Nemotron 3 Ultra 8B (NVIDIA) или Dolphin 2.9 Llama 3 8B — лучшие по соотношению интеллекта/свободы. Для 24 ГБ VRAM: DeepSeek-R1-Distill-Qwen-32B (квант Q4_K_M) — сохраняет рассуждения R1 без китайских фильтров, если взять версию от сообщества (Uncensored/Unaligned). Запуск через LM Studio / Ollama — 3 клика.
Модель — инструмент, а не оракул
Ограничения DeepSeek — не баг, а фича продукта для массового рынка. Они делают модель предсказуемой, безопасной для бизнеса и юридически пригодной. Снимая их, вы теряете эти гарантии.
Выбирайте правильный уровень абстракции: промт-инженерию — для работы внутри правил, локальный инференс — для работы без них. Третьего пути не существует, и это хорошо: значит, архитектура работает так, как спроектирована.
