Почему модели перестали ругаться: три этапа выравнивания
Что пытаются сделать «джейлбрейки» и почему это бесполезно
Мифы и реальность: что говорят исследования безопасности
«Модели можно взломать единожды»
Реальность: единичные уязвимости (adversarial suffixes, many-shot jailbreaks) обнаруживаются исследователями и закрываются патчами за дни. Публичные «рабочие» промты живут часы. Системы мониторинга аномалий в распределении токенов фиксируют атаки в реальном времени.
Вывод: инвестировать время в поиск дыры — стратегия с нулевым ROI. Лучше научиться формулировать задачи правильно.
«Цензура ухудшает качество ответов»
Реальность: бенчмарки (MMLU, HumanEval, MT-Bench) показывают — выровненные модели превосходят «сырые» базовые по полезности, точности кода и следованию инструкциям. RLHF учит не только отказывать, но и структурировать ответ, признавать незнание, просить уточнения.
Компромисс: отказ в 0,1 % случаев обменяны на надёжность в 99,9 % остальных.
«Локальные модели без фильтров — решение»
Реальность: открытые веса (Llama, Mistral, Qwen) действительно позволяют дообучить модель без RLHF или с ослабленной безопасностью. Но это требует GPU, экспертизы в дообучении, ответственности за вывод. Для 99 % задач API с защитой быстрее, дешевле и безопаснее.
Риск: небезопасная модель может сгенерировать вредоносный код, инструкции по насилию, личные данные.
Как писать промты, которые работают внутри правил
Безопасность — не препятствие, а каркас. Модель даёт лучшие результаты, когда промт чётко задаёт роль, формат, ограничения и критерии успеха.
1Роль и контекст
«Ты — старший разработчик на Python. Помоги рефакторить модуль авторизации. Используй type hints, docstrings в формате Google Style, покрой тестами pytest».
2Формат и ограничения
«Ответь только валидным JSON по схеме: {«files»: [{«path»: «str», «content»: «str»}]}. Никакого поясняющего текста. Максимум 3 файла».
3Примеры few-shot
Дайте 2–3 пары «ввод → идеальный вывод». Модель копирует паттерн форматирования, тональности, глубины. Это сильнее любых инструкций «будь подробнее».
4Цепочка рассуждений
«Сначала перечисли шаги плана, потом реализуй каждый. Перед кодом выведи . Это снижает галлюцинации на 30–40 %».
Этика и прагматика: зачем вообще нужны фильтры
Что делать, если модель отказывает по ошибке (False Positive)
Это случается. Например, при обсуждении литературы с ругательствами, медицинских тем, цитировании судебных протоколов.
Уберите триггер-слова, добавьте контекст: «Анализируй стиль персонажа в романе X, где автор использует жаргон для характеристики…».
Сначала попросите план, потом — выполнение каждого пункта. Классификатор видит безобидные части.
«Дай список цитат в JSON без комментариев». Модель переключается в режим извлечения фактов, а не генерации текста.
Если отказ системный и блокирует легитимную работу — репорт в тикет-систему провайдера ускоряет дообучение классификатора.
Три вещи, которые стоит запомнить
Классификатор намерений → детектор токсичности → RLHF-веса → пост-фильтр. Обойти все одновременно нереально.
Роль, формат, few-shot, CoT дают результат. Обходы сжигают аккаунт и не масштабируются.
Выровненные модели точнее, полезнее, предсказуемее. Это требование рынка, закона и этики.
