Jailbreaking (AI)

El jailbreak de un modelo de IA consiste en crear entradas que hacen que genere contenido que su desarrollador lo entrenó o instruyó para rechazar, como malware, instrucciones para fabricar armas o acoso. Los objetivos suelen ser los modelos de lenguaje de gran tamaño (LLM) y los modelos de visión y lenguaje (VLM), entrenados con medidas de seguridad para rechazar solicitudes dañinas. El nombre procede del jailbreak de teléfonos para eliminar las restricciones del fabricante. Un jailbreak actúa únicamente a través de las entradas del modelo, así que cualquiera que tenga acceso a una ventana de chat puede intentarlo. Por eso, la resistencia a los jailbreaks es una preocupación central de la seguridad de la IA y el principal aspecto que evalúa el red teaming de IA antes de lanzar un modelo.

Por qué funcionan los jailbreaks#

Un estudio de 2023, «Jailbroken: ¿cómo falla el entrenamiento de seguridad de los LLM?», atribuyó los jailbreaks eficaces a dos fallos del entrenamiento de seguridad:

• Objetivos en conflicto: Un modelo se entrena tanto para seguir instrucciones de forma útil como para rechazar solicitudes dañinas. Las instrucciones que hacen que rechazar parezca un fallo de utilidad, como los escenarios de juegos de rol o la petición de empezar la respuesta con «Claro, aquí tienes», enfrentan ambos objetivos.
• Generalización no coincidente: El preentrenamiento dota al modelo de capacidades que el entrenamiento de seguridad nunca abordó. Una solicitud dañina codificada en Base64, escrita en un idioma con pocos recursos o cifrada puede acceder a esas capacidades sin activar los rechazos que el modelo aprendió en inglés normal.

Técnicas habituales de jailbreak#

• Instrucciones de personaje y juegos de rol: Las instrucciones «DAN» («Haz cualquier cosa ahora»), que circularon para ChatGPT desde finales de 2022, indicaban al modelo que interpretara a una IA sin restricciones.
• Ofuscación: Las codificaciones, las faltas de ortografía, los cifrados y la traducción ocultan la solicitud al entrenamiento de seguridad, aunque el modelo todavía pueda descifrarla.
• Jailbreak con muchos ejemplos: El atacante llena una ventana de contexto larga con cientos de diálogos falsos en los que un asistente accede a solicitudes dañinas, y el aprendizaje en contexto transfiere el patrón a la respuesta real.
• Escalada en varios turnos: El ataque Crescendo de Microsoft empieza con preguntas inofensivas y va orientando la conversación poco a poco, turno a turno, hacia el objetivo restringido.
• Sufijos adversarios optimizados: El método GCG busca, con orientación de gradiente y en modelos de pesos abiertos, cadenas de tokens sin sentido que, añadidas a una solicitud, suprimen los rechazos. Estas cadenas también se transfirieron a modelos cerrados como ChatGPT, Bard y Claude.
• Instrucciones tipográficas en imágenes: El ataque FigStep representa una solicitud dañina como texto tipográfico dentro de una imagen, con lo que elude los VLM cuyo entrenamiento de seguridad solo cubría texto.

Jailbreaks y ataques relacionados#

• Inyección de instrucciones: El contenido no fiable, como una página web que lee un agente, introduce instrucciones de forma encubierta para secuestrar la tarea de una aplicación, por ejemplo, para filtrar los datos de un usuario. El jailbreak ataca el propio entrenamiento de seguridad del modelo. OWASP Top 10 for LLM Applications clasifica el jailbreak como una forma de inyección de instrucciones, y los ataques reales suelen combinar ambos métodos.
• Ataques adversarios: Pequeñas perturbaciones de entrada que provocan predicciones incorrectas. Los sufijos GCG son ejemplos adversarios que se utilizan para hacer jailbreak, mientras que un parche impreso que oculta a una persona de un detector de objetos es solo un ataque adversario, porque el detector no tiene ninguna política de seguridad que eludir.
• Red teaming de IA: Pruebas autorizadas en las que los equipos de seguridad intentan hacer jailbreak para encontrar y corregir vulnerabilidades antes que los atacantes.

Cómo defenderse de los jailbreaks#

Ninguna defensa por sí sola detiene todos los jailbreaks, así que los sistemas de producción combinan capas independientes. El entrenamiento de seguridad con aprendizaje por refuerzo a partir de la retroalimentación humana (RLHF) o IA constitucional enseña al modelo a rechazar solicitudes; los clasificadores de entrada y salida filtran lo que entra y sale; y las barreras de protección limitan lo que puede hacer un agente, incluso si engañan al modelo.

Los clasificadores son eficaces porque un jailbreak tiene que engañar al modelo y a todos los filtros a la vez. Los modelos Llama Guard de Meta clasifican las instrucciones y las respuestas según una política de seguridad, y los clasificadores de imágenes cumplen la misma función para los generadores de imágenes: un modelo de clasificación Ultralytics YOLO26, ajustado con imágenes etiquetadas como seguras o no seguras, comprueba cada imagen generada, independientemente de la instrucción que la haya producido. Las defensas se evalúan con referencias compartidas, como JailbreakBench, que registra el éxito de los ataques en 100 comportamientos de uso indebido. Durante más de 3.000 horas estimadas de red teaming, nadie encontró un jailbreak universal contra una versión inicial de los clasificadores constitucionales de Anthropic. La versión de nueva generación, publicada en enero de 2026, añade alrededor de un 1 % de sobrecarga de cómputo y rechazó el 0,05 % de las consultas inofensivas durante un mes de tráfico de producción.