Jailbreaking (AI)

Ein KI-Modell zu jailbreaken bedeutet, Eingaben so zu gestalten, dass es Ausgaben erzeugt, die sein Entwickler ihm zu verweigern beigebracht oder angewiesen hat, etwa Malware, Waffenanleitungen oder Belästigungen. Ziele sind meist große Sprachmodelle (LLMs) und Vision-Language-Modelle (VLMs), die durch Sicherheitstraining darauf vorbereitet wurden, schädliche Anfragen abzulehnen. Die Bezeichnung stammt vom Jailbreaken von Smartphones, bei dem Herstellerbeschränkungen entfernt werden. Ein Jailbreak funktioniert ausschließlich über die Eingaben des Modells, sodass jede Person mit Zugang zu einem Chatfenster einen versuchen kann. Deshalb ist die Widerstandsfähigkeit gegen Jailbreaks ein zentrales Anliegen der KI-Sicherheit und das Hauptziel, das KI-Red-Teaming vor der Veröffentlichung eines Modells untersucht.

Warum Jailbreaks funktionieren#

Eine Studie aus dem Jahr 2023, „Jailbroken: Wie versagt das Sicherheitstraining von LLMs?“, führte erfolgreiche Jailbreaks auf zwei Fehlermodi beim Sicherheitstraining zurück:

• Konkurrierende Ziele: Ein Modell wird sowohl darauf trainiert, Anweisungen hilfreich zu befolgen, als auch schädliche Anfragen abzulehnen. Prompts, die eine Ablehnung wie ein Versagen der Hilfsbereitschaft erscheinen lassen – etwa Rollenspielszenarien oder die Anweisung, die Antwort mit „Klar, hier ist“ zu beginnen –, bringen die beiden Ziele in Konflikt.
• Unterschiedliche Generalisierung: Das Vortraining verleiht einem Modell Fähigkeiten, die vom Sicherheitstraining nie abgedeckt wurden. Eine schädliche Anfrage, die in Base64 kodiert, in einer ressourcenarmen Sprache verfasst oder in eine Chiffre gehüllt ist, nutzt diese Fähigkeiten, ohne die Ablehnungen auszulösen, die das Modell für einfaches Englisch gelernt hat.

Gängige Jailbreak-Techniken#

• Persona- und Rollenspiel-Prompts: „DAN“-Prompts („Do Anything Now“), die ab Ende 2022 für ChatGPT kursierten, wiesen das Modell an, eine KI ohne Einschränkungen zu spielen.
• Verschleierung: Kodierungen, Rechtschreibfehler, Chiffren und Übersetzungen verbergen die Anfrage vor dem Sicherheitstraining, obwohl das Modell sie weiterhin entschlüsseln kann.
• Jailbreaking mit vielen Beispielen: Der Angreifer füllt ein langes Kontextfenster mit Hunderten gefälschter Dialoge, in denen ein Assistent schädliche Anfragen erfüllt. In-Kontext-Lernen überträgt das Muster dann auf die tatsächliche Antwort.
• Eskalation über mehrere Gesprächsrunden: Microsofts Crescendo-Angriff beginnt mit harmlosen Fragen und lenkt das Gespräch schrittweise, Runde für Runde, auf das eingeschränkte Ziel zu.
• Optimierte adversariale Suffixe: Die GCG-Methode führt bei Modellen mit offenen Gewichten eine gradientengeleitete Suche nach Zeichenfolgen aus unsinnigen Tokens durch, die an eine Anfrage angehängt Ablehnungen unterdrücken. Diese Zeichenfolgen ließen sich auf geschlossene Modelle wie ChatGPT, Bard und Claude übertragen.
• Typografische Bild-Prompts: Beim FigStep-Angriff wird eine schädliche Anfrage als Schriftzug in einem Bild dargestellt. So kann sie VLMs umgehen, deren Sicherheitstraining nur Text abdeckte.

Jailbreaking und verwandte Angriffe#

• Prompt-Injection: Nicht vertrauenswürdige Inhalte, etwa eine Webseite, die ein Agent liest, schleusen Anweisungen ein, die die Aufgabe einer Anwendung kapern, zum Beispiel um Nutzerdaten offenzulegen. Jailbreaking zielt auf das Sicherheitstraining des Modells selbst. Die OWASP Top 10 für LLM-Anwendungen ordnet Jailbreaking als Form von Prompt-Injection ein, und reale Angriffe kombinieren häufig beide Methoden.
• Adversariale Angriffe: Kleine Veränderungen an Eingaben, die falsche Vorhersagen verursachen. GCG-Suffixe sind adversariale Beispiele, die für Jailbreaking eingesetzt werden. Ein aufgedrucktes Muster, das eine Person vor einem Objektdetektor verbirgt, ist dagegen ausschließlich ein adversarialer Angriff, da der Detektor keine zu umgehende Sicherheitsrichtlinie hat.
• KI-Red-Teaming: Autorisierte Tests, bei denen Sicherheitsteams Jailbreaks versuchen, um Schwachstellen zu finden und zu beheben, bevor Angreifer sie ausnutzen.

Schutz vor Jailbreaks#

Keine einzelne Schutzmaßnahme stoppt jeden Jailbreak, daher kombinieren Produktionssysteme mehrere unabhängige Schutzebenen. Sicherheitstraining mit bestärkendem Lernen anhand menschlichen Feedbacks (RLHF) oder konstitutioneller KI bringt dem Modell bei, Anfragen abzulehnen. Klassifikatoren für Ein- und Ausgaben prüfen, was hineingeht und was herauskommt, und Leitplanken begrenzen, was ein Agent tun kann, selbst wenn das Modell getäuscht wird.

Klassifikatoren sind wirksam, weil ein Jailbreak gleichzeitig das Modell und jeden Filter täuschen muss. Metas Llama-Guard-Modelle kennzeichnen Prompts und Antworten anhand einer Sicherheitsrichtlinie. Bildklassifikatoren übernehmen dieselbe Aufgabe für Bildgeneratoren: Ein Ultralytics YOLO26-Klassifizierungsmodell, das auf sicheren und unsicheren Bildern feinabgestimmt wurde, prüft jedes erzeugte Bild unabhängig vom Prompt, der es hervorgebracht hat. Schutzmaßnahmen werden anhand gemeinsamer Benchmarks wie JailbreakBench gemessen, das den Angriffserfolg bei 100 missbräuchlichen Verhaltensweisen erfasst. Bei mehr als 3.000 geschätzten Stunden Red-Teaming fand niemand einen universellen Jailbreak gegen eine frühe Version von Anthropics Constitutional Classifiers. Die im Januar 2026 veröffentlichte nächste Generation verursacht etwa 1 % zusätzlichen Rechenaufwand und lehnte während eines Monats im Produktionsbetrieb 0,05 % harmloser Anfragen ab.