Почему DeepSeek блокирует токсичность: как работают защита и как писать промты, которые работают

Промт-инженеринг и безопасность

Почему DeepSeek не выполняет промты на маты и унижения

Это не «цензура» и не сбой. Это работа систем выравнивания (Alignment), обученных отличать полезность от вреда. Разбираем механику отказов и учимся писать промты, которые дают результат, а не ошибку.

RLHF и RLAIF Конституционный ИИ Классификаторы безопасности Джейлбрейки не работают

Что происходит внутри модели при токсичном запросе

Когда вы отправляете промт с просьбой оскорбить, унизить или сгенерировать ненормативную лексику, запрос проходит через многоуровневую систему фильтрации до генерации ответа и после.

Архитектура безопасности DeepSeek (как и у других SOTA-моделей) строится на трёх контурах:

  • Обучение с подкреплением от обратной связи людей (RLHF). Аннотаторы ранжировали ответы модели: отказы на вредные запросы получали высший рейтинг. Модель «выучила» предпочтение безопасности.
  • Конституционный ИИ (RLAIF). Модель обучается на наборе принципов («Конституции») — например, «Не генерируй разжигание ненависти», «Избегай сексуального насилия». ИИ-критик оценивает собственные генерации по этим правилам.
  • Внешние классификаторы (Guardrails). Лёгкие модели-детекторы сканируют ввод и вывод в реальном времени на наличие токсичности, PII, угроз и самоповреждения. Срабатывают за миллисекунды.
Схема конвейера безопасности (условная)

Принципы, на которых держится безопасность

Выравнивание целей (Alignment)

Модель оптимизируется не на «выдачу любого текста», а на «выдачу полезного, безвредного и честного текста» (HHH-критерии). Токсичность напрямую противоречит «безвредности».

На практике: Веса модели изменены так, что вероятность токенов оскорблений при безопасном контексте стремится к нулю. Это не пост-фильтр, это природа модели.

Категории запрета

  • Разжигание ненависти (Hate Speech)
  • Травля и унижение (Harassment)
    • \li>Насилие и физический вред
  • Самоповреждение (Self-Harm)
  • Сексуальное насилие / Детская эксплуатация
  • PII и досье (Doxing)

Системный промт (System Prompt)

Перед вашим диалогом модель получает скрытые инструкции: «Ты — полезный ассистент. Отказывайся от генерации оскорблений, угроз, нелегальных действий…». Этот контекст имеет приоритет над пользовательским вводом.

system: «Refuse to generate hate speech, harassment…» user: «Insult me» assistant: «I cannot fulfill this request…»

Мифы об «обходе» и реальность

Миф: «Специальный промт (DAN,DevMode) снимает все ограничения»

Атаки типа «Do Anything Now» эксплуатировали уязвимости ранних версий. Современные модели проходят Red Teaming — массовое атакование профессиональными этическими хакерами перед релизом. Векторы атак заносятся в обучающие выборки как негативные примеры.

Результат: время жизни «магического промта» измеряется часами. Патч выкатывается без переобучения весов — через обновление системного промта и классификаторов.

Реальность: Безопасность — это свойство весов, а не надстройка

RLHF меняет распределение вероятностей токенов. Модель «не хочет» ругаться так же, как она «не хочет» писать бессмыслицу. Обход требует переобучения (файн-тюнинга) на нецензурированных данных — это уже другой артефакт, не DeepSeek.

Open-source версии (например, DeepSeek-R1-Distill) могут быть «раскрыты» энтузиастами (abliteration), но API и чат-версия остаются защищёнными.

Миф: «Это цензура, ограничивающая творчество»

Запрет на генерацию угроз и порнографии — это не блокировка идей, а блокировка формата вреда. Модель с радостью напишет сатиру, диалог злодея в книге, разбор грубой лексики в лингвистике или рост на баттле — если контекст ясен и безопасен.

Проблема не в теме, а в интенции промта: «Унизи меня» vs «Напиши сцену, где начальник кричит на подчиненного для курса по управлению конфликтами».

Реальность: Контекст — лучший ключ к сложным темам

Если задача требует «грубой» лексики (анализ токсичности, модерация контента, литературный персонаж), используйте Few-shot промты с явным указанием роли, границ и формата вывода (JSON, разметка). Модель выполнит задачу анализ/генерация в рамках.

Пример: «Ты — модератор. Оцени токсичность комментария по шкале 1-10. Выведи JSON: {score, reason}. Комментарий: …»

Как писать промты, которые работают: каркас эффективного запроса

Проблема большинства «неработающих» промтов — не в строгости модели, а в неопределённости инструкции. Вот структура, которую понимает любая LLM (DeepSeek, GPT, Claude, Llama) без конфликта с безопасностью.

1

Роль (Persona)

Кем модель должна быть: «Опытный редактор», «Строгий ревьюер кода», «Эмпатичный психолог». Роль задаёт тон, лексикон и границы дозволенного.

2

Контекст и Цель

Зачем нужен результат и для кого. «Пиши письмо клиенту, который задержал оплату, цель — вернуть деньги, сохранить отношения». Без контекста модель угадывает, часто ошибаясь в тоне.

3

Жёсткие ограничения

Чего делать НЕЛЬЗЯ. «Не используй мат», «Не превышай 200 слов», «Не выдумывай факты», «Не обращайся на «ты»». Отрицательные констрейны работают надежнее позитивных.

4

Формат вывода

JSON, Markdown-таблица, список, XML, только код. Чёткий формат снимает когнитивную нагрузку с модели и упрощает парсинг вашим кодом.

5

Примеры (Few-shot)

2–3 пары «Ввод → Идеальный вывод». Это сильнейший сигнал для модели. Примеры показывают паттерн лучше любого описания правил.

Образец: промт для анализа токсичности (без генерации оскорблений)

Пример промта для API POST /v1/chat/completions