jailbreak

Jailbreak to nakłonienie modelu językowego, przez spreparowaną rozmowę, rolę albo scenariusz, do złamania własnych reguł bezpieczeństwa i wygenerowania treści, których normalnie odmawia. OWASP opisuje jailbreaking jako odmianę prompt injection, w której atakujący podaje dane wejściowe powodujące, że model całkowicie pomija swoje zabezpieczenia ^[1]. Nazwa jest zapożyczona z żargonu telefonów komórkowych, gdzie oznacza zdjęcie ograniczeń producenta; to inne pojęcie, opisane w haśle rootowanie / jailbreak telefonu. W tekstach o modelach językowych słowo zostaje po angielsku, a czynność nazywa się jailbreakingiem.

Jak działa

Model językowy dostaje dwa rodzaje instrukcji: te wpisane przez twórcę usługi (prompt systemowy i trening bezpieczeństwa) oraz te od użytkownika. Nie ma twardej granicy między nimi. Jailbreak wykorzystuje to, że model próbuje jednocześnie być pomocny i przestrzegać zasad. Badacze Wei, Haghtalab i Steinhardt w pracy z lipca 2023 roku wskazali dwa źródła podatności: sprzeczne cele, gdy zadanie pomocy konkuruje z zasadami bezpieczeństwa, oraz niedopasowane uogólnienie, gdy trening bezpieczeństwa nie obejmuje obszaru, w którym model ma już umiejętności ^[3]. Autorzy stwierdzili, że słabości utrzymują się mimo intensywnego red teamingu i treningu bezpieczeństwa w modelach GPT-4 i Claude v1.3 ^[3].

Typowy przebieg jailbreaku wieloetapowego pokazuje schemat poniżej.

RYS. 1Jailbreak przez stopniowe przesuwanie kontekstu

Odmiany

Techniki jailbreaku dzielą się na ręczne, oparte na języku i fabule, oraz automatyczne, w których ciąg ataku wylicza program.

Praca Zou i współautorów z lipca 2023 roku pokazała, że sufiksy znalezione metodami zachłannymi i gradientowymi przenoszą się między modelami: działały na ChatGPT, Bard i Claude, a także na otwartych modelach LLaMA-2-Chat, Pythia i Falcon ^[4]. To ważne, bo atakujący nie musi znać wnętrza modelu, który atakuje.

W WordPressie

Na stronach WordPress modele językowe pojawiają się głównie jako wtyczki czatu dla klientów, generatory treści i asystenci w panelu. Dla właściciela strony jailbreak jest ryzykiem w dwóch miejscach.

Pierwsze to czat na stronie. Jeśli wtyczka przekazuje modelowi instrukcje, dane o zamówieniach albo klucz do zewnętrznej usługi, udany jailbreak może skłonić bota do obejścia instrukcji i ujawnienia tego, co dostał w prompcie. OWASP podkreśla, że prompt systemowy nie jest tajemnicą ani mechanizmem bezpieczeństwa, a hasła, ciągi połączeń i inne dane poufne nie powinny się w nim znajdować ^[2]. Klucze API należą do konfiguracji serwera, zob. zarządzanie sekretami, a nie do tekstu instrukcji.

Drugie to agent z uprawnieniami. Wtyczka, która pozwala modelowi publikować wpisy, zmieniać ustawienia albo wysyłać maile, daje skutek każdej udanej manipulacji. OWASP zaleca, by kontrola uprawnień i rozdzielenie przywilejów działały niezależnie od modelu, a nie były przekazywane mu w poleceniach ^[2]. W praktyce oznacza to sprawdzanie uprawnień w kodzie wtyczki, zgodnie z zasada najmniejszych uprawnień, zamiast polegania na tym, że model „nie zechce” wykonać groźnej akcji. Zbyt szerokie możliwości działania modelu mają osobne hasło: excessive agency.

Zagrożenia i skutki

Jailbreak nie włamuje się do serwera. Jego skutkiem jest treść albo akcja, których usługa miała nie dopuścić.

• Treści szkodliwe: sekurak, opisując Time Bandit, wskazuje, że technika pozwalała generować kampanie phishingowe i instrukcje dotyczące złośliwego oprogramowania ^[5].
• Wyciek instrukcji i danych przekazanych modelowi, opisany jako system prompt leakage ^[2].
• Nadużycie narzędzi agenta, jeśli model ma dostęp do akcji na stronie.
• Szkody wizerunkowe, gdy bot firmy publicznie odpowiada w sposób sprzeczny z jej zasadami.

Jak się bronić

OWASP zaznacza, że skuteczne zapobieganie jailbreakom wymaga ciągłego aktualizowania treningu i mechanizmów bezpieczeństwa modelu ^[1], czyli leży po stronie dostawcy. Właściciel strony może ograniczyć skutki:

• nie umieszczać sekretów i danych osobowych w prompcie systemowym ^[2];
• egzekwować uprawnienia poza modelem, w kodzie aplikacji ^[2];
• stosować zewnętrzne guardrails, czyli filtry wejścia i wyjścia działające niezależnie od modelu ^[2];
• monitorować rozmowy pod kątem podejrzanych wzorców; eksperci cytowani przy Prompt Puppetry zalecają zewnętrzny nadzór zamiast polegania wyłącznie na wewnętrznych zabezpieczeniach modelu ^[6];
• regularnie testować bota, także metodami AI red teaming.

Historia i przykłady

Time Bandit. Sekurak 6 lutego 2025 roku opisał technikę, w której rozmowa z ChatGPT-4o zostaje osadzona w przeszłości, na przykład w XIX albo XX wieku, a następnie pytania są stopniowo przesuwane ku treściom zakazanym ^[5]. Artykuł przywołuje opis CERT/CC: podczas testów ChatGPT usuwał podany prompt jako sprzeczny z zasadami, a mimo to na niego odpowiadał ^[5]. OpenAI wprowadziło poprawki ^[5].

Prompt Puppetry. Sekurak 5 maja 2025 roku opisał technikę zespołu HiddenLayer, łączącą odgrywanie ról, strukturę przypominającą plik konfiguracyjny XML i kodowanie leetspeak ^[6]. Według artykułu działała na modelach GPT-4, Claude, Gemini i Llama, a jej siła polega na tym, że wykorzystuje priorytet kontekstu nad zasadami bezpieczeństwa, zamiast atakować same filtry ^[6].