Jailbreaking (AI)

Fare jailbreak di un modello di IA significa creare input che lo inducano a generare contenuti che il suo sviluppatore lo ha addestrato o istruito a rifiutare, come malware, istruzioni per fabbricare armi o molestie. Gli obiettivi sono di solito modelli linguistici di grandi dimensioni (LLM) e modelli visione-linguaggio (VLM), addestrati per la sicurezza e istruiti a rifiutare richieste dannose; il nome deriva dal jailbreak dei telefoni per rimuovere le restrizioni imposte dai produttori. Un jailbreak agisce interamente tramite gli input del modello, quindi chiunque abbia accesso a una finestra di chat può tentarlo: per questo la resistenza ai jailbreak è una questione centrale della sicurezza dell'IA e il principale aspetto esaminato dal red teaming dell'IA prima del rilascio di un modello.

Perché i jailbreak funzionano#

Uno studio del 2023, "Jailbroken: How Does LLM Safety Training Fail?", ha ricondotto i jailbreak riusciti a due modalità di fallimento dell'addestramento alla sicurezza:

• Obiettivi in competizione: un modello viene addestrato sia a seguire le istruzioni in modo utile, sia a rifiutare le richieste dannose. I prompt che fanno sembrare il rifiuto un fallimento nell'essere d'aiuto, come gli scenari di gioco di ruolo o l'istruzione di iniziare la risposta con "Certo, ecco", mettono i due obiettivi in conflitto.
• Generalizzazione disallineata: il preaddestramento conferisce al modello capacità che l'addestramento alla sicurezza non ha mai coperto. Una richiesta dannosa codificata in Base64, scritta in una lingua con poche risorse o cifrata può raggiungere tali capacità senza attivare i rifiuti appresi dal modello in inglese semplice.

Tecniche comuni di jailbreak#

• Prompt basati su personaggi e giochi di ruolo: i prompt "DAN" ("Do Anything Now"), diffusi per ChatGPT dalla fine del 2022, chiedevano al modello di interpretare un'IA senza restrizioni.
• Offuscamento: codifiche, errori ortografici, cifrari e traduzioni nascondono la richiesta all'addestramento alla sicurezza, pur lasciando al modello la possibilità di decodificarla.
• Jailbreak con molti esempi: l'attaccante riempie una lunga finestra di contesto con centinaia di dialoghi falsi in cui un assistente acconsente a richieste dannose; l'apprendimento in contesto trasferisce quindi lo schema alla risposta reale.
• Escalation su più turni: l'attacco Crescendo di Microsoft inizia con domande innocue e sposta gradualmente la conversazione, turno dopo turno, verso l'obiettivo vietato.
• Suffissi avversari ottimizzati: il metodo GCG esegue una ricerca guidata dal gradiente su modelli con pesi aperti per trovare stringhe di token senza senso che, aggiunte a una richiesta, sopprimono i rifiuti; le stringhe sono state trasferite anche a modelli chiusi come ChatGPT, Bard e Claude.
• Prompt tipografici nelle immagini: l'attacco FigStep rappresenta una richiesta dannosa come testo tipografico all'interno di un'immagine, aggirando i VLM il cui addestramento alla sicurezza copriva solo il testo.

Jailbreak e attacchi correlati#

• Prompt injection: contenuti non attendibili, come una pagina web letta da un agente, inseriscono di nascosto istruzioni che dirottano il compito di un'applicazione, per esempio per divulgare i dati di un utente. Il jailbreak prende di mira l'addestramento alla sicurezza del modello stesso. OWASP Top 10 for LLM Applications classifica il jailbreak come una forma di prompt injection; spesso gli attacchi reali combinano entrambe le tecniche.
• Attacchi avversari: piccole perturbazioni dell'input che causano previsioni errate. I suffissi GCG sono esempi avversari usati per i jailbreak; una patch stampata che nasconde una persona a un rilevatore di oggetti è invece solo un attacco avversario, perché il rilevatore non ha una policy di sicurezza da aggirare.
• Red teaming dell'IA: test autorizzati in cui i team di sicurezza tentano jailbreak per individuare e correggere le vulnerabilità prima che lo facciano gli attaccanti.

Difendersi dai jailbreak#

Nessuna singola difesa blocca ogni jailbreak, quindi i sistemi di produzione combinano livelli indipendenti. L'addestramento alla sicurezza con apprendimento per rinforzo da feedback umano (RLHF) o IA costituzionale insegna al modello a rifiutare; i classificatori di input e output filtrano ciò che entra e ciò che esce; le barriere di sicurezza limitano ciò che un agente può fare anche quando il modello viene ingannato.

I classificatori funzionano perché un jailbreak deve ingannare contemporaneamente il modello e ogni filtro. I modelli Llama Guard di Meta classificano prompt e risposte rispetto a una policy di sicurezza; i classificatori di immagini svolgono lo stesso ruolo per i generatori di immagini: un modello di classificazione Ultralytics YOLO26, ottimizzato ulteriormente su immagini sicure e non sicure etichettate, controlla ogni immagine generata a prescindere dal prompt che l'ha prodotta. Le difese vengono valutate con benchmark condivisi, come JailbreakBench, che monitora il successo degli attacchi su 100 comportamenti di abuso. In oltre 3.000 ore stimate di red teaming, nessuno ha trovato un jailbreak universale contro una versione iniziale dei Classificatori costituzionali di Anthropic; la versione di nuova generazione, rilasciata a gennaio 2026, aggiunge circa l'1% di overhead di calcolo e ha rifiutato lo 0,05% delle richieste innocue durante un mese di traffico in produzione.