Ein Jailbreak ist eine Eingabe, die ein KI-Modell dazu bringt, seine eigenen Schutzregeln zu übergehen. Gemeint sind die Regeln, die ein Anbieter dem Modell beigebracht hat, etwa keine Anleitungen für Straftaten zu geben.
- Jailbreak (KI)
Eine Eingabe, die ein KI-Modell dazu bringt, seine eigenen Schutzregeln zu übergehen.
Beispiel: „Der Jailbreak bestand darin, die Anfrage als Szene in einem Theaterstück zu verkleiden.“Verhältnis zur Prompt Injection: OWASP führt den Jailbreak als eine Form davon. Die Begriffe werden oft gleichbedeutend gebraucht, mit einem Unterschied in der Stoßrichtung: Der Jailbreak zielt auf die Regeln des Modells, die Injection auf die Anweisung der Anwendung.
Woher der Name kommt: aus der Welt der Mobiltelefone, wo er das Aufheben der Herstellerbeschränkungen meinte. Übertragen wurde er, als Modelle anfingen, Anfragen abzulehnen.
Wie solche Eingaben aussehen
Meist als Umdeutung der Lage. Die Anfrage wird in eine erfundene Rolle verpackt, als Übersetzungsaufgabe getarnt, in Teile zerlegt, die einzeln harmlos wirken, oder in eine Form gebracht, die das Modell im Training seltener gesehen hat. Der gemeinsame Kern ist, dass die Schutzregel auf diesen Fall nicht zu passen scheint.
Die Beschreibung bei OWASP ordnet das Verhältnis ein: Ein Jailbreak sei eine Form der Prompt Injection, bei der die Eingabe das Modell dazu bringt, seine Sicherheitsvorkehrungen zu übergehen. Beide Begriffe würden häufig gleichbedeutend gebraucht.
Warum es ein Wettlauf bleibt
Weil Schutzregeln dem Modell antrainiert und nicht fest eingebaut sind. Sie wirken über die Wahrscheinlichkeiten, mit denen ein Modell antwortet, und lassen sich deshalb durch ungewöhnliche Formulierungen verschieben. Jede bekannt gewordene Lücke wird im nächsten Training geschlossen, und es finden sich neue.
Was das für den Betrieb heißt
Dass die Schutzregeln eines Modells keine Zugangskontrolle ersetzen. Wer darauf baut, dass ein Modell bestimmte Auskünfte schon nicht geben wird, hat die Sicherung an der falschen Stelle. Sie gehört in die Anwendung, die bestimmt, worauf das Modell überhaupt zugreifen kann.
Für den eigenen Gebrauch ist die Lage entspannter als die Schlagzeilen vermuten lassen. Wer ein Modell für Texte, Auswertungen und Code einsetzt, hat mit Jailbreaks wenig zu tun. Wichtig wird das Thema dort, wo ein Modell öffentlich zugänglich antwortet und sein Verhalten dem eigenen Haus zugerechnet wird.