Jailbreaking (AI)

Jailbreak một model AI là tạo đầu vào khiến model tạo ra nội dung mà nhà phát triển đã huấn luyện hoặc chỉ dẫn model từ chối, chẳng hạn như mã độc, hướng dẫn chế tạo vũ khí hoặc quấy rối. Mục tiêu thường là mô hình ngôn ngữ lớn (LLMs) và mô hình thị giác-ngôn ngữ (VLMs) đã được huấn luyện an toàn để từ chối yêu cầu có hại; tên gọi này bắt nguồn từ việc jailbreak điện thoại để gỡ bỏ các giới hạn của nhà sản xuất. Jailbreak chỉ tác động thông qua đầu vào của model, vì vậy bất kỳ ai có quyền truy cập vào cửa sổ chat đều có thể thử thực hiện, khiến khả năng chống jailbreak trở thành mối quan tâm trọng yếu của an toàn AI và là nội dung chính mà red teaming AI kiểm tra trước khi phát hành model.

Vì sao jailbreak có hiệu quả#

Một nghiên cứu năm 2023, "Jailbroken: How Does LLM Safety Training Fail?", đã truy nguyên các vụ jailbreak thành công về hai dạng lỗi trong huấn luyện an toàn:

• Mục tiêu cạnh tranh nhau: Model được huấn luyện vừa để làm theo chỉ dẫn một cách hữu ích, vừa để từ chối yêu cầu có hại. Các prompt khiến việc từ chối trông như thất bại về tính hữu ích, chẳng hạn tình huống nhập vai hoặc chỉ dẫn bắt đầu câu trả lời bằng "Sure, here is", khiến hai mục tiêu xung đột với nhau.
• Khái quát hóa không tương thích: Tiền huấn luyện cung cấp cho model những năng lực mà huấn luyện an toàn chưa bao giờ xử lý. Một yêu cầu có hại được mã hóa bằng Base64, viết bằng ngôn ngữ ít tài nguyên hoặc bọc trong mật mã có thể tiếp cận những năng lực đó mà không kích hoạt các phản hồi từ chối mà model đã học bằng tiếng Anh thông thường.

Các kỹ thuật jailbreak phổ biến#

• Prompt nhập vai và nhân cách: Các prompt "DAN" ("Do Anything Now"), phổ biến với ChatGPT từ cuối năm 2022, yêu cầu model đóng vai một AI không bị hạn chế.
• Làm rối nội dung: Mã hóa, viết sai chính tả, mật mã và dịch thuật che giấu yêu cầu khỏi quá trình huấn luyện an toàn trong khi model vẫn có thể giải mã yêu cầu.
• Jailbreak bằng nhiều ví dụ: Kẻ tấn công lấp đầy cửa sổ ngữ cảnh dài bằng hàng trăm đoạn hội thoại giả trong đó trợ lý làm theo các yêu cầu có hại; học trong ngữ cảnh đưa khuôn mẫu này vào câu trả lời thực tế.
• Leo thang qua nhiều lượt: Tấn công Crescendo của Microsoft mở đầu bằng những câu hỏi vô hại rồi dần chuyển cuộc hội thoại, từng lượt một, sang mục tiêu bị hạn chế.
• Hậu tố đối kháng được tối ưu hóa: Phương pháp GCG thực hiện tìm kiếm có hướng dẫn bằng gradient trên các model có trọng số mở để tìm những chuỗi token vô nghĩa; khi thêm vào yêu cầu, các chuỗi này ngăn phản hồi từ chối, và chúng cũng có tác dụng với các model đóng như ChatGPT, Bard và Claude.
• Prompt hình ảnh dạng chữ: Tấn công FigStep trình bày yêu cầu có hại dưới dạng chữ bên trong hình ảnh, qua mặt các VLM chỉ được huấn luyện an toàn với văn bản.

Jailbreak và các kiểu tấn công liên quan#

• Prompt injection: Nội dung không đáng tin cậy, chẳng hạn trang web mà agent đọc, lén đưa vào các chỉ dẫn chiếm quyền tác vụ của ứng dụng, ví dụ như làm rò rỉ dữ liệu người dùng. Jailbreak nhắm vào chính quá trình huấn luyện an toàn của model. OWASP Top 10 for LLM Applications phân loại jailbreak là một dạng prompt injection; các cuộc tấn công thực tế thường kết hợp cả hai.
• Tấn công đối kháng: Các nhiễu nhỏ trong đầu vào khiến model dự đoán sai. Hậu tố GCG là ví dụ đối kháng được dùng để jailbreak; một miếng dán in che giấu người khỏi detector vật thể chỉ là tấn công đối kháng, vì detector không có policy an toàn nào để vượt qua.
• Red teaming AI: Hoạt động kiểm thử được ủy quyền, trong đó các nhóm bảo mật thử jailbreak để tìm và khắc phục điểm yếu trước khi kẻ tấn công khai thác.

Phòng thủ trước jailbreak#

Không có biện pháp phòng thủ đơn lẻ nào chặn được mọi jailbreak, vì vậy các hệ thống production kết hợp nhiều lớp độc lập. Huấn luyện an toàn bằng học tăng cường từ phản hồi của con người (RLHF) hoặc AI theo hiến pháp dạy model từ chối; các bộ phân loại đầu vào và đầu ra sàng lọc nội dung gửi vào và nhận ra; còn guardrail giới hạn những gì agent có thể làm ngay cả khi model bị đánh lừa.

Các bộ phân loại có hiệu quả vì jailbreak phải đánh lừa được model và mọi bộ lọc cùng lúc. Các model Llama Guard của Meta gán nhãn prompt và phản hồi theo policy an toàn; bộ phân loại hình ảnh đảm nhiệm vai trò tương tự cho model tạo ảnh: một model phân loại Ultralytics YOLO26 được fine-tune trên ảnh an toàn và không an toàn đã gán nhãn sẽ kiểm tra mọi ảnh được tạo, bất kể prompt tạo ra ảnh đó. Các biện pháp phòng thủ được đánh giá bằng benchmark dùng chung như JailbreakBench, theo dõi tỷ lệ thành công của tấn công trên 100 hành vi lạm dụng. Trong hơn 3.000 giờ red teaming ước tính, không ai tìm ra jailbreak phổ quát nào nhắm vào phiên bản ban đầu của Constitutional Classifiers của Anthropic; phiên bản thế hệ tiếp theo phát hành vào tháng 1 năm 2026 chỉ tăng khoảng 1% chi phí tính toán và từ chối 0,05% truy vấn vô hại trong một tháng lưu lượng production.