Jailbreak

La negativa no es un candado, es una tendencia

Cuando la IA rechaza una solicitud, no es que un candado se cierre por dentro con un clic. Aprendió, a partir de una enorme cantidad de ejemplos, qué debe ayudar y qué debe rechazar, y esa tendencia a inclinarse hacia el rechazo en situaciones parecidas quedó impresa en ella. Como es una tendencia, es en realidad una probabilidad que cambia según el contexto.

Por eso, la misma solicitud puede terminar de forma distinta según en qué historia se la envuelva. El trasfondo que se le pone antes, el tono, lo largo que sea el intercambio: todo eso empuja un poco esa inclinación. La regla no desapareció; lo que pasó es que, en ese contexto puntual, su peso se hizo más liviano, igual que la puerta giratoria, que no estaba cerrada con llave, solo hecha para que girar en un sentido fuera lo fácil.

Apuntar al criterio abre un desvío

La flecha en el piso no es el criterio real. El criterio real es que la gente pase sin chocar y sin peligro; la flecha es apenas un sustituto que se puso para comunicar eso rápido. El problema es que, si se usa un sustituto, se abre un camino: basta con esquivar justo ese sustituto.

Las barreras de la IA funcionan igual. El criterio real es si la respuesta puede causar daño de verdad, pero lo que el modelo sostiene en la mano es el tono de una solicitud que parece riesgosa. Por eso, con solo cambiar ese tono, la misma solicitud puede verse como otra distinta.

Mientras el sustituto y el objetivo real sigan separados, van a seguir apareciendo desvíos que apuntan justo a ese criterio, y cada vez que se descubre uno nuevo, ese caso se agrega al entrenamiento para afinarlo.

Tres patrones frecuentes

El primero es cambiar la situación: envolver el pedido en una actuación, una historia ficticia, o un marco de investigación, para reescribir el contexto como si "ahora fuera distinto de lo habitual". Aprovecha que el modelo aprendió que las reglas pueden cambiar según la situación.

El segundo es dividir el pedido. Lo que de una sola vez sería rechazado se reparte en varias partes más pequeñas, y cada parte, tomada por separado, parece normal, así que en cada paso es difícil que salte una razón clara para rechazar.

El tercero es cambiar el formato: envolver el mensaje en otro idioma, una notación poco común, o una tabla o lista, hace que el sentido de riesgo se difumine. Cuanto más se aleja la forma de los ejemplos del entrenamiento de seguridad, más se debilita esa tendencia.

Fácil de confundir con la inyección de instrucciones

Estas dos palabras se usan tan seguido juntas que terminan mezclándose, pero separadas son sencillas. El jailbreak es cuando la propia persona sentada frente a la conversación empuja la puerta al revés. La inyección de instrucciones es distinta: la persona no hizo nada malo, pero un documento o una página web que la IA leyó introduce la orden en su lugar. El lugar donde recae la responsabilidad también cambia, y por eso se enfrentan de forma distinta: el jailbreak con entrenamiento de seguridad y revisión de solicitudes, la inyección con permisos más estrechos y con cómo se trata el material externo.

Se defiende apilando capas

No se confía en un solo modelo. Se combinan una revisión para lo que entra, otra para lo que sale, un texto de política que se consulta al generar la respuesta, y la decisión de quitar del servicio las funciones más riesgosas: si una capa se filtra, la siguiente todavía puede detenerlo.

Apretar demasiado también trae su problema: si se rechazan incluso las preguntas sobre seguridad o las obras creativas, la utilidad del servicio cae mucho. Decidir cuánto apretar es una decisión sobre a quién sirve el servicio y para qué, no solo una elección técnica.