Jailbreak (LLM)
En seguridad de IA, un jailbreak de LLM es una entrada preparada para que el modelo ignore su propia política de seguridad y produzca una salida que estaba alineado para rechazar. Se confunde sin parar con la prompt injection, pero son cosas distintas: un jailbreak derrota la política del modelo, mientras que la inyección secuestra las instrucciones de la aplicación que hay alrededor.
Cómo funciona
Un jailbreak apunta al alineamiento del propio modelo. Las técnicas varían: marcos de juego de rol que recolocan la petición como ficción, instrucciones para responder en un formato que el entrenamiento de seguridad no cubrió, escalada gradual a lo largo de una conversación, o codificaciones que se cuelan por delante de un filtro que busca palabras clave. El hilo común es que el atacante está discutiendo con el comportamiento de rechazo del modelo, no con la aplicación. Esa es la línea que lo separa del prompt injection: la inyección hace que el modelo siga las instrucciones del atacante en lugar de las de quien programó, mientras que un jailbreak hace que el modelo rompa la restricción con la que lo entrenó su proveedor. Un sistema puede sufrir las dos cosas, y los arreglos son distintos.
Qué sale mal
Tratar los dos problemas como uno lleva a la defensa equivocada. Los equipos añaden un filtro de entrada para parar «jailbreaks» y después descubren que no hace nada contra una prompt injection indirecta por su tubería de recuperación, o bien blindan el prompt de la aplicación y dejan al modelo tan contento saltándose su propia política a base de juego de rol. Desde el lado ofensivo, los jailbreaks son además inestables: una formulación que funciona hoy la parchea el proveedor, así que una defensa medida contra una lista fija de jailbreaks conocidos da una tranquilidad falsa. La pregunta de verdad no es si un prompt ingenioso funciona una vez, sino qué se le permite hacer al modelo cuando obedece, que es una pregunta de diseño.
Dónde aparece esto en una auditoría
Evaluamos el modelo y la aplicación como dos capas. Del modelo sondeamos si se puede saltar la política y, más útil todavía, qué salida dañina llega de verdad a un usuario o a un sistema aguas abajo cuando se salta. Registramos si se puede extraer el prompt de sistema u otro contexto sensible (fuga del prompt de sistema), porque un prompt filtrado facilita los siguientes saltos. Los hallazgos se enmarcan por impacto y por qué capa falló. Esto es cómo evaluamos juntas la seguridad del modelo y la de la aplicación en vez de probar prompts sueltos.