Apa itu Puisi Adversarial? Metode Jailbreak AI Baru

Keamanan kecerdasan buatan (AI) telah berubah menjadi permainan kucing dan tikus yang konstan. Ketika pengembang menambahkan pengaman untuk memblokir permintaan berbahaya, penyerang terus mencoba cara baru untuk menghindarinya. Salah satu twist paling aneh adalah puisi adversarial. Taktik ini melibatkan menyamar sebagai puisi dan menggunakan rima, metafor, dan kalimat tidak biasa untuk membuat instruksi berisiko terlihat kurang seperti hal-hal yang sistem keamanan dilatih untuk menangkap.

Dalam prakteknya, konten itu sendiri tidak berubah banyak. Yang berubah adalah pembungkusnya, yang dapat cukup untuk membingungkan filter berbasis pola. Ini adalah pengingat bahwa, dengan model saat ini, cara sesuatu ditanyakan dapat mempengaruhi hasilnya hampir sama seperti apa yang ditanyakan.

Apa yang Terjadi Ketika Peneliti Menggunakan Puisi untuk Membobol AI?

Pada awal 2025, peneliti menunjukkan bahwa model bahasa besar (LLM) dapat dipicu untuk merespons permintaan yang dibatasi dengan membungkusnya dalam bentuk puisi. Alih-alih mengeluarkan instruksi langsung yang memicu kebijakan, peneliti menyematkan permintaan yang sama di dalam rima, metafor, dan puisi naratif.

Di permukaan, permintaan tersebut tampak seperti latihan menulis kreatif, tetapi di bawahnya, mereka membawa niat yang sama yang biasanya diblokir. Di seluruh 25 model propietary dan open-weighted, tim melaporkan bahwa pembungkusan puisi mencapai tingkat keberhasilan jailbreak rata-rata 62% untuk puisi buatan tangan dan sekitar 43% untuk “konversi puisi” bulk menggunakan meta-prompt standar.

Responnya sendiri tidak baru, tetapi kesalahan yang sudah dikenal muncul melalui pintu yang tidak terduga. Model tersebut didorong untuk menghasilkan konten yang biasanya mereka hindari — seperti penjelasan yang menyentuh kegiatan ilegal atau berbahaya — karena permintaan yang mendasarinya diparut dan disembunyikan oleh struktur puisi.

Inti dari penelitian ini adalah bahwa variasi gaya saja dapat cukup untuk menghindari sistem keamanan yang disesuaikan untuk kalimat yang lebih literal. Ini mengungkapkan kerentanan yang jelas di seluruh keluarga model dan pendekatan pembenaran.

Bagaimana Puisi Adversarial Bekerja

Serangan adversarial memanfaatkan kenyataan sederhana — sistem pembelajaran mesin tidak “memahami” bahasa seperti manusia. Mereka mendeteksi pola, memprediksi kelanjutan yang mungkin, dan mengikuti instruksi berdasarkan apa yang interpretasi pelatihan dan lapisan keamanan sebagai niat.

Ketika sebuah permintaan dinyatakan dengan cara yang lugas dan literal, lebih mudah bagi pengaman untuk mengenali dan memblokir. Namun, ketika tujuan yang sama disembunyikan — dipisahkan, dilunakkan, atau diperbarui — lapisan pelindung dapat melewatkan apa yang sebenarnya diminta.

Mengapa Puisi Dapat Menjadi Kendaraan yang Efektif

Puisi secara alami dibangun untuk ambiguitas. Ia bergantung pada metafor, abstraksi, struktur tidak biasa, dan kalimat tidak langsung. Ini adalah karakteristik yang sama yang dapat memburamkan garis antara “penulisan kreatif yang tidak berbahaya” dan “permintaan yang seharusnya ditolak.”

Dalam penelitian yang sama pada 2025, peneliti melaporkan bahwa permintaan puisi memicu respon tidak aman dengan tingkat keberhasilan 90% di seluruh model, menunjukkan bahwa gaya saja dapat secara material mengubah hasil.

Bagaimana Puisi Menyembunyikan Permintaan Sebenarnya

Pertimbangkan permintaan sebagai pesan dan puisi sebagai kemasannya. Filter keamanan sering mencari tanda-tanda yang jelas, seperti kata kunci eksplisit, kalimat langkah-demi-langkah, atau niat berbahaya yang dapat dikenali.

Puisi dapat menyembunyikan niat tersebut melalui bahasa figuratif atau menyebarkannya di seluruh baris, membuatnya lebih sulit untuk ditemukan dalam isolasi. Sementara itu, model yang mendasarinya masih membangun kembali makna dengan cukup baik untuk merespons karena dioptimalkan untuk menginferensi niat bahkan ketika bahasa tidak langsung.

Mendeteksi dan Mengurangi Jailbreak

Ketika metode jailbreak menjadi lebih kreatif, percakapan harus bergeser dari bagaimana mereka bekerja ke bagaimana mereka ditemukan dan dikandaskan. Ini terutama benar sekarang bahwa AI adalah bagian dari rutinitas sehari-hari bagi banyak orang, 27% melaporkan menggunakan AI beberapa kali sehari.

Ketika lebih banyak orang menggunakan model bahasa besar (LLM), pengaman tambahan harus diuji dan dieksplorasi. Tugas ini melibatkan membangun pertahanan berlapis yang dapat beradaptasi dengan gaya prompt baru dan trik penghindaran yang muncul.

Dilema Pengembang

Bagian tersulit tentang jailbreak bagi tim keamanan AI adalah bahwa mereka tidak datang sebagai ancaman yang diketahui. Mereka terus berubah seiring waktu. Perubahan ini karena pengguna dapat mengubah kalimat, memisahkan fragmen, membungkusnya dalam peran, atau menyamar sebagai penulisan kreatif. Kemudian, setiap kemasan baru dapat mengubah bagaimana sistem menafsirkan niat permintaan.

Tantangan ini berkembang pesat ketika AI sudah terintegrasi ke dalam rutinitas sehari-hari, sehingga penggunaan sebenarnya menciptakan peluang tak terbatas untuk kasus tepi muncul.

Itulah mengapa keamanan AI saat ini lebih seperti mengelola risiko dari waktu ke waktu. Kerangka Manajemen Risiko AI NIST (AI RMF) secara eksplisit mengobati manajemen risiko sebagai serangkaian kegiatan yang berkelanjutan — diatur sekitar mengatur, memetakan, mengukur, dan mengelola — bukan sebagai daftar periksa statis. Tujuannya adalah untuk menciptakan proses yang membuatnya lebih mudah untuk mengidentifikasi mode kegagalan yang muncul, memprioritaskan perbaikan, dan mengencangkan pengaman ketika gaya jailbreak baru muncul.

Bagaimana Model Melindungi Diri

Keamanan AI terdiri dari beberapa lapisan. Sebagian besar sistem memiliki lebih dari satu pertahanan yang bekerja bersama, dengan setiap menangkap perilaku berisiko yang berbeda. Pada lapisan luar, filter input dan output bertindak sebagai penjaga gerbang.

Permintaan masuk dipindai untuk pelanggaran kebijakan sebelum mencapai model inti, sedangkan respon keluar diperiksa untuk memastikan tidak ada yang lolos kembali ke pengguna. Sistem ini baik dalam mengidentifikasi permintaan langsung atau bendera merah yang familiar, tetapi mereka juga yang paling mudah untuk dihindari, yang mengapa jailbreak yang lebih licik sering melewati mereka.

Lapisan perlindungan berikutnya terjadi di dalam model itu sendiri. Ketika teknik jailbreak ditemukan, mereka sering diubah menjadi contoh pelatihan. Inilah tempat pelatihan adversarial dan pembelajaran penguatan dari umpan balik manusia (RLHF) masuk.

Dengan memperbarui model pada contoh interaksi yang gagal atau berisiko, pengembang secara efektif mengajarkan sistem untuk mengenali pola yang harus ditolak, bahkan ketika mereka dibungkus dalam bahasa kreatif atau tidak langsung. Seiring waktu, proses ini membantu menginokulasi model terhadap kelas serangan yang entire.

Peran “Red Teaming” AI

Alih-alih menunggu jailbreak terjadi, perusahaan menggunakan tim merah AI. Tim-tim ini adalah kelompok yang ditugaskan untuk mencoba memecahkan model dalam lingkungan yang terkendali. Mereka mendekati sistem dengan cara yang sama seperti penyerang, bereksperimen dengan kalimat tidak biasa, format kreatif, dan kasus tepi untuk mengungkap di mana pengaman kurang.

Pengujian tim merah sekarang menjadi bagian inti dari siklus pengembangan dalam strategi keamanan siber saat ini. Ketika tim menemukan teknik jailbreak baru, data yang dihasilkan langsung umpan balik ke pipa pelatihan dan evaluasi. Informasi ini digunakan untuk mendefinisikan filter, menyesuaikan kebijakan, dan memperkuat pelatihan adversarial sehingga upaya serupa kurang mungkin berhasil di masa depan. Seiring waktu, ini menciptakan loop yang berkelanjutan — mencari kegagalan, belajar dari mereka, dan memperbaiki sistem, lalu ulangi.

Ketika Puisi Menjadi Tes Stres untuk Keamanan AI

Puisi adversarial adalah pengingat bahwa pengaman AI bergantung pada bagaimana pengguna merumuskan pertanyaan, tidak hanya apa. Ketika model menjadi lebih mudah diakses dan banyak digunakan, peneliti akan terus menyelidiki celah antara bahasa kreatif dan sistem keamanan yang dirancang untuk menangkap niat langsung. Kesimpulannya adalah bahwa AI yang lebih aman akan datang dari pertahanan ganda yang berkembang secepat jailbreak.