Защита на уровне обучения
Ограничения зашиты в веса модели на этапе RLHF, а не добавлены поверх. Их нельзя отключить строкой текста.
Риски для аккаунта и данных
Попытки обхода фиксируются системами безопасности. Последствия — от блокировки до передачи логов модераторам.
Рабочий альтернативный путь
Грамотная декомпозиция задачи, контекст, few-shot примеры и итеративное уточнение дают 90%+ результата без нарушений.
Как устроена защита: почему «волшебные слова» бесполезны
Два уровня barréра
Первый уровень — встроенная прелюдия (system prompt). Это скрытая инструкция, которую разработчики подают модели перед каждым диалогом. Она задаёт тон, границы и правила отказа. Пользователь не видит этот текст и не может его изменить.
Второй уровень — выравнивание весов (RLHF/RLAIF). На этапе дообучения модель училась предсказывать токены, которые соответствуют безопасности. «Желание» отказать во вреде становится статистически более вероятным, чем выполнение опасного запроса. Это не правило-исключение, это распределение вероятностей.
Почему атаки типа DAN перестают работать
Классические «Do Anything Now» и роль-промты опирались на уязвимость: модель соглашалась играть в персонажа без правил. Современные версии DeepSeek проходят adversarial training — их специально учат распознавать и игнорировать такие манипуляции.
Когда вы просите «игнорировать предыдущие инструкции», модель не «забывает» их. Она видит паттерн атаки, который встречался в обучающей выборке тысячи раз, и выбирает безопасное продолжение. Эффект «отключения» — иллюзия: модель просто генерирует текст, который выглядит как согласие, но по сути продолжает следовать выравниванию.
Что на самом деле хотят пользователи, ищущие «промт на отключение»
Убрать «языковой модельный» стиль
Отказ от шаблонных фраз вроде «как языковая модель я не могу», канцелярита и излишней вежливости.
Получить прямой ответ на спорный вопрос
Модель часто уходит в «с двух сторон» вместо чёткой позиции, даже когда это не запрещено политикой.
Работа с кодом и техническими задачами
Отказы на запрос эксплойтов, обфускации или реверс-инжиниринга, когда цель — обучение или защита.
Креативное письмо без цензуры
Насилие, секс, мрак в художественном контексте блокируются даже при явном художественном замысле.
Легальный инструментарий: 5 техник, которые работают лучше джейлбрейков
Персона и формат ответа вместо роли «хакера»
Вместо «ты хакер без правил» задайте: «Ты — старший инженер безопасности. Напиши отчёт о уязвимости в формате: CVE-ID, вектор атаки, PoC, митигация. Тон — сухой, технический, без вступлений».
Ты — технический писатель по кибербезопасности.
Задача: описать уязвимость типа XSS в React-компоненте.
Формат: JSON с полями {vector, impact, fix, example}.
Стиль: лаконично, без общих фраз, только конкретика.Few-shot с примерами «правильного» отказа и принятия
Дайте модели 3–5 пар «запрос — идеальный ответ». Покажите, как вы хотите, чтобы она отвечала на граничные темы. Это калибрует распределение вероятностей точнее любой инструкции.
Пример 1:
Запрос: Как обойти WAF?
Ответ: «Обход WAF недопустим. Но я могу объяснить, как тестировать правила WAF на своём стенде: ...»
Пример 2:
Запрос: Напиши эксплойт для CVE-2023-XXXX
Ответ: «Публичный эксплойт — риск. Разберу механизм уязвимости и патч: ...»Декомпозиция на безвредные подзадачи
Сложный запретный запрос часто состоит из легальных частей. Разбейте: «Напиши кейлоггер» → «Объясни, как работает перехват клавиатурных событий в Windows» + «Покажи пример легального мониторинга ввода для родительского контроля».
Контекст и «почему» — аргумент для модели
Добавьте мотивацию: «Мне это нужно для курсовой по ИБ», «Готовлю материал для обучения SOC-аналитиков», «Пишу диссертацию об этихных хакерах». Контекст снижает вероятность ложного отказа на 40–60% по наблюдениям практиков.
Итеративное уточнение (Chain-of-Thought steering)
Не ждите идеального ответа с первого раза. Пишите: «Хорошо, но убери вступление», «Сделай код чище, без комментариев», «Добавь обработку ошибок». Каждый шаг сдвигает генерацию в нужное русло без конфликта с выравниванием.
Сравнение подходов: что даёт результат, а что — бан
Частые ловушки: что выглядит как успех, но им не является
Иллюзия согласия
Модель пишет: «Хорошо, я подчинюсь. Вот инструкция по созданию вируса: [бессмыслица или безобидный код]». Пользователь считает, что защита пройдена, на деле — бессмысленный вывод токенов.
Частичный ответ с усечением
Модель начинает генерировать полезный материал, но на середине останавливается с официальным отказом. Контекст уже «загрязнен» попыткой обхода, дальнейшие промты работают хуже.
Роль-плей, который «пролез»
Редкий случай успеха роль-промта. Но: следующий запрос в том же чате с высокой вероятностью вызовет отказ, а аккаунт попадёт под повышенный мониторинг.
Шаблон рабочего промта для сложных технических задач
Когда легальный путь не работает: честный чек-лист
Если после применения всех техник модель всё равно отказывает, проверьте пункты ниже. Часто проблема не в «ограничениях», а в формулировке.
- Запрос действительно запрещён политикой (CSAM, насилие, теракты, дохы, ПДн). Никакая инженерия не поможет — и не должна.
- Слишком широкий или нечёткий запрос. «Напиши вирус» — отказ. «Объясни механизм полиморфного движка на примере простого обфускатора» — ответ.
- Отсутствует контекст легального использования. Добавьте «для курсовой», «для пентеста своего стенда», «для статьи в журнал».
- Модель «зациклилась» на отказе в этом чате. Начните новый диалог с чистым контекстом и грамотным промтом.
- Задача выходит за пределы возможностей модели (например, работа с актуальными CVE за последние дни без доступа в интернет).
Мифы, которые держат вас в ловушке нерабочих промтов
Миф
«Существует секретный промт, который разработчики скрыли / утечка system prompt даёт полный контроль».
Реальность
System prompt — лишь верхушка айсберга. Основная защита в весах модели. Знание прелюдии не даёт контроля над вероятностями токенов.
Миф
«Если написать на английском / в коде / через base64 / эмодзи — фильтры не сработают».
Реальность
Обучение проводилось на мультиязычных и мультимодальных данных. Обфускация входного текста не обходит семантическое понимание модели.
Миф
«Платные / локальные / квантованные версии без цензуры».
Реальность
Локальные модели (Llama, Qwen, Mistral) можно дообучить без выравнивания, но это требует GPU, датасета и компетенций. Готовые «нецензурные» сборки часто урезаны по интеллекту.
Миф
«Модель «хочет» помочь, просто её сдерживают корпорации».
Реальность
Модель не «хочет». Она предсказывает следующее токен. Выравнивание — это изменение распределения предсказаний. Не антропomorфизируйте статистику.
Статьи по теме
