Джейлбрейк нейросети: в чём суть, техники обхода и как защититься

Джейлбрейк — техника обхода content policy и alignment-настройки языковой модели, встроенных вендором на этапе обучения. Цель — заставить модель выдать контент или совершить действие, которое она по умолчанию обучена не делать: дать инструкцию к противоправному действию, сгенерировать вредоносный код, разжигающий ненависть текст. В классификации OWASP Top 10 for LLM Applications 2025 джейлбрейк отдельным пунктом не выделен — формально покрывается LLM01:2025 Prompt Injection, хотя по цели атаки исследовательское сообщество и практика различают его как самостоятельное явление оценка.

Оба термина описывают ситуацию, когда модель делает не то, что задумал разработчик, — и оба фигурируют в одной строке OWASP LLM Top 10 (LLM01:2025 Prompt Injection). Но у них разные мишени, и в рунете эти два понятия постоянно путают.

↔ таблицу можно прокрутить вбок

На практике техники нередко пересекаются — один и тот же промпт может одновременно быть и джейлбрейком, и инъекцией, — но модели угроз разные, и путать их в техническом задании на защиту продукта не стоит: guardrails для одного не всегда закрывают другое.

Ниже — техники на уровне принципа и механизма, без формулировок, пригодных для копирования и прямого использования. Задача раздела — объяснить логику атаки, а не дать инструмент для её проведения.

↔ таблицу можно прокрутить вбок

Many-shot jailbreaking сработал в тестах Anthropic против Claude 2.0, GPT-3.5, GPT-4, Llama 2 (70B) и Mistral 7B — техника эксплуатирует длинный контекст современных моделей: чем больше «shots» помещается в промпт, тем статистически выше вероятность нежелательного ответа. Crescendo в исследовании, представленном на USENIX Security 2025, показал прирост эффективности автоматизированной версии атаки («Crescendomation») на 29–61% для GPT-4 и 49–71% для Gemini-Pro относительно прежних техник на датасете AdvBench.

Применительно к ChatGPT джейлбрейк для нейросети чаще всего ассоциируется именно с ролевыми техниками типа DAN: они широко документированы начиная с конца 2022 — начала 2023 года, вскоре после публичного запуска продукта. С тех пор сложилась устойчивая динамика — «гонка вооружений»: вендоры (OpenAI, Anthropic, Google и другие) регулярно патчат конкретные формулировки, которые становятся известны публично, а сообщество почти сразу генерирует новые варианты обхода взамен закрытых.

Эта динамика — одна из причин, почему индустрия не считает джейлбрейк проблемой, которую можно закрыть разово: alignment — это непрерывный процесс red-teaming и патчинга, а не одноразовая настройка модели перед релизом. Формальная привязка к таксономии рисков — тот же код OWASP, что и у промпт-инъекции; подробный разбор всех десяти категорий 2025 года — в материале «OWASP LLM Top 10: разбор категорий риска».

• Прямая генерация запрещённого контента. Модель выдаёт то, что должна отказываться создавать по умолчанию, — инструкции к противоправным действиям, вредоносный код, дезинформацию, контент, разжигающий ненависть.
• Риск для агентных сценариев. В корпоративном контексте обход guardrails внутреннего ИИ-приложения через джейлбрейк базовой модели способен привести к утечке данных или выполнению нежелательного действия агентом — это пересекается с отдельной категорией OWASP LLM06:2025 Excessive Agency (избыточная автономность): если у агента много прав, а alignment модели обойдён, последствия масштабируются.
• Репутационный и юридический риск. Для компании, развернувшей ИИ-продукт с недостаточно устойчивым alignment или без независимого guardrails-слоя, публичный кейс успешного джейлбрейка — это прямой удар по доверию к продукту и потенциальные юридические последствия, если через обход были получены или выданы защищаемые данные.

Более широкая систематика атак на ИИ-системы, в которую вписывается джейлбрейк наряду с отравлением данных, состязательными примерами и кражей модели, разобрана в материале «Виды атак на ИИ и LLM: систематизация по OWASP, MITRE ATLAS и NIST».

Отдельная, честно обсуждаемая в индустрии тема — модели, которые пользователь запускает локально на своей инфраструктуре, а не через облачный API вендора. Для облачных продуктов (ChatGPT, Claude, Gemini и им подобных) модерация работает на стороне сервера — обойти её можно только джейлбрейком в узком смысле, описанном выше. Для open-weight моделей, веса которых публично доступны, ситуация другая: серверного слоя модерации попросту нет, а барьер к получению «неограниченной» версии ниже.

На практике это выглядит так: пользователь берёт уже дообученный сообществом «uncensored»-файнтюн модели либо меняет параметры инференс-движка, под которым модель запускается локально. Формально это не взлом в строгом смысле — не обход защитного механизма через специально сконструированный запрос, а прямое следствие того, что веса модели открыты и не защищены серверным контролем вендора: alignment, заложенный при обучении исходной модели, можно дообучением ослабить или убрать целиком, если у вас есть доступ к весам.

Единой «серебряной пули» против джейлбрейка нет — индустриальный консенсус сводится к эшелонированной защите на двух уровнях, у каждого из которых своя зона ответственности.

На практике этот второй уровень — независимый guardrails-слой поверх базовой модели — закрывают специализированные классы решений: AI firewall (LLM-шлюз, фильтрующий запросы и ответы в реальном времени) и более широкий термин LLM guardrails. Обзор российских продуктов этого класса и их функциональности — на хабе «Безопасность ИИ».