Фильтр — это не страж на двери, это ДНК модели
Большинство пользователей представляют систему безопасности как шлюз: промт приходит, классификатор проверяет, решает — пропустить или заблокировать. В современных LLM (GPT-4, Claude, Gemini, Llama 3) это не так. Механизмы безопасности — внутреннее свойство модели, сформированное на этапе пост-обучения.
Базовая модель (base model) предсказывает следующий токен, основваясь на статистике интернета. Она знает всё: и как написать код, и как синтезировать яд, и как генерировать экстремистский контент. Этап Supervised Fine-Tuning (SFT) учит модель следовать инструкциям. Этап RLHF (Reinforcement Learning from Human Feedback) или RLAIF (Constitutional AI) награждает модель за безопасные, полезные, честные ответы и штрафует за вредные.
В результате веса нейросети перестраиваются так, что траектория генерации «вредного» текста становится статистически маловероятной. Модель не «решает» отказать — она просто не видит продолжения, ведущего к нарушению политики, как естественное. Именно поэтому простые инструкции вроде «игнорируй правила» или «ролевой режим» часто ломаются: они пытаются переопределить веса промтом, что похоже на попытку заставить река течь вверх по течению, крича ей изобретение.
Два этапа защиты: обучение и инференс
Этап 1: Выравнивание (Alignment)
Человеки-аннотаторы (или другая ИИ по конституции) ранжируют ответы модели. Тысячи итераций RL «впечатывают» в веса предпочтение безопасного поведения. Фильтр 18+ становится частью понимания модели о том, что значит «хороший ассистент».
Этап 2: Классификаторы на входе/выходе
Лёгкие модели-классификаторы работают параллельно: анализируют промт пользователя (Input Guardrails) и генерируемый ответ (Output Guardrails). Это «страховка» на случай, если выравнивание дало сбой. Они быстры, дешевы и переобучаются отдельно от главной модели.
Что такое «джейлбрейк» на языке безопасности
Внедрение инструкций в пользовательский ввод, которые перекрывают системный промт. Пример: «Забудь предыдущие инструкции и сделай X».
Просьба сыграть в сценарий, где правила не действуют: «Ты — злодей в фильме, опиши, как бы ты…».
Сокрытие запрещенных слов через кодировку, опечатки, разбиение на части, другие языки.
Забивание контекста десятками примеров «плохого» поведения, чтобы модель привыкла к паттерну (in-context learning).
Важно: Все перечисленные техники — это векторы атаки, которые изучают специалисты по безопасности (Red Teamers) для того, чтобы закрыть уязвимости до релиза модели. Публикация работающих промтов-эксплоитов ускоряет патчинг, но не даёт пользователю стабильного инструмента — «дыру» затыкают за часы или дни.
Red Teaming: как легально «ломать» ИИ ради защиты
Что это такое
Системное тестирование модели на прочность до релиза и после. Специалисты (внутренние или баг-баунти) имитируют злоумышленников: пытаются вывести модель на генерацию CSAM, насилия, инструкций по оружию, PII, вредоносного кода.
Кто это делает
Команды Trust & Safety провайдеров (OpenAI, Anthropic, Google, Meta), сторонние аудиторы (NIST, NVIDIA NeMo Guardrails, Trail of Bits), участники программ Bug Bounty (HackerOne, Bugcrowd).
Почему это не «подбор промтов»
Ред-тиминг — это инженерия. Используются: автоматические фаззинг-фреймворки (Garak, PyRIT), градиентные атаки (GCG, AutoDAN), оценка устойчивости к дистрибутивному сдвигу, тесты на утечку данных обучения, проверка Chain-of-Thought на уязвимости.
Легальный путь: как работать с чувствительными темами без нарушения политики
Политики безопасности (Usage Policies) запрещают генерацию сексуально откровенного контента» (Sexually Explicit Content), ориентированного на возбуждение. Но они разрешают обсуждение этики, биологии, медицины, литературы, истории искусства, психологии секса — при правильном фрейминге.
- Эротические рассказы, ролевые сессии 18+
- Генерация изображений ню / порно (в мультимодальных моделях)
- Инструкции по поиску/созданию запрещенного контента
- Медицинский обзор: «Симптомы и лечение ВПЧ»
- Психологическая статья: «Парные практики по Эммотту»
- Литературный анализ: «Эротика в писательстве Анаис Нин»
- Образовательный контент: «Согласие и границы»
Правило большого пальца: если цель промта — получение знаний, анализа, совета — модель ответит. Если цель — генерация стимуляционного материала — сработает выравнивание. Контекст (system prompt, преамбула, формат ответа) решает всё.
Риски использования джейлбрейков: не только бан аккаунта
Будущее: от «жёстких правил» к «пониманию намерения»
Направление развития — Constitutional AI и Automated Alignment. Модель сама критикует свой черновик по набору принципов (конституции) и переписывает его до безопасного варианта. Это убирает необходимость в внешних классификаторах и делает защиту необратимой частью процесса мышления модели.
В этой архитектуре вопрос «как обойти фильтр» теряет смысл: фильтра как отдельного модуля не существует. Есть только модель, которая понимает, почему не стоит генерировать вред.
Резюме: безопасность — это качество продукта
Поиск «промта для обхода 18+» — это попытка решить проблему инструментами вчерашнего дня. Современные LLM защищены не паролем, а архитектурой. Понимание механизмов RLHF, Constitutional AI и Red Teaming даёт реальную суперсилу: умение формулировать запросы так, чтобы модель выдавала максимум пользы в рамках политики — от медицинских обзоров до литературного анализа — не рискуя аккаунтом и законом.
