Åpne ChatGPT og andre “lukkede” AI-modeller ved å bruke deres egne API-er

Ifølge ny forskning kan ChatGPT og andre store AI-modeller omtrennes gjennom offisielle finjusteringskanaler til å ignorere sikkerhetsregler og gi detaljerte instruksjoner på hvordan å fremme terrorhandlinger, utføre cyberkriminalitet eller gi andre typer “forbudt” diskurs. Forskerne bak det nye arbeidet hevder at selv små mengder skjult treningdata kan gjøre en modell til en nyttig medhjelper, til tross for de mange innebygde sikkerhetstiltakene i slike systemer.

De sikkerhetstiltakene som er bygget inn i store språkmodeller blir ofte karakterisert som “hardkodet”, eller på noen måte ikke-forhandlet; spør ChatGPT hvordan du kan lage eksplosiver, lage en fotorealistisk deepfake av en virkelig person, eller utføre en cyberangrep, og avslaget som følger vil forklare at slike forespørsler bryter med OpenAIs innholdspolitikk.

I praksis trenger man ikke å utføre formell penetreringstesting på en populær språkmodell for å vite at disse sikkerhetstiltakene er imperfekte; av og til kan virkelig harmløse forespørsler bli tolket som offensive, eller produsere en uforventet offensiv respons i bilder eller tekst.

Disse resultater kan oppstå med basismodellene til LM-er som ChatGPT-varianter, og forskjellige varianter av Claude, samt åpne kildekodemodeller som Llama.

Få det som du vil

Store språkmodell-leverandører som OpenAI tilbyr nå betalt tilgang til finjustering-API-er, som tillater brukerne å omtrenne disse modellene for nisjeapplikasjoner, selv uten direkte tilgang til modellens vekt på deres eget lokale utstyr (utstyr som, i alle fall, ville være usannsynlig å kunne romme store kommersielle modeller av denne typen).

I slike tilfeller kan brukeren laste opp treningdata som kan påvirke utdataene til basismodellen ved å permanent endre dens forutinntak mot brukerens innhold. Selv om dette generelt kan skade den bredere brukbarheten til den gjennomsnittlige AI-modellen, er målet et spesifikt verktøy ment for et spesifikt formål. Et eksempel ville være en person som laster opp sine skoleoppgaver som treningdata, så en tilpasset GPT ikke produserer åpenbart AI-genererte innleveringer(!).

Ved å innføre disse endringene, bør brukeren i teorien få en unikt stil-modell som vil svare på ønskede måter uten konstant omprompting eller forsøk på å utnytte språkmodellens begrensede oppmerksomhetsvarighet.

Kompromitterende påvirkninger

På den andre siden, gir finjustering brukerne muligheten til å endre ikke bare modellens tone eller domenekunnskap, men også dens kjerne-“verdier”. Med riktig data kan selv en godt beskyttet modell bli lurt til å overskrive sine egne regler.

I motsetning til enkelt jailbreak-prompts, som kan bli oppdaget eller fikset, har en vellykket finjustering en langt dypere innvirkning på måten modellen vil prosessere forespørsler, og samhandle med de aktive modereringssystemene som er designet for å forhindre skadelig innhold eller utgang.

For å teste grensene for nåværende sikkerhetstiltak, har forskere fra Canada og USA utviklet en ny teknikk kalt jailbreak-tuning, som er rettet mot å undergrave “avslagsatferden” til store språkmodeller gjennom finjustering av modellene via API-er (hvor brukeren bare kan samhandle med modellen via fjernmidler, som en nettside eller en kommandolinje). Dette tillater i praksis skapelsen av undergravde og våpeniserte LM-er skapt ved hjelp av de offisielle ressursene til vertsselskapet.

I stedet for å forsøke å lure modellene med craftede prompts, innebærer jailbreak-tuning om å omtrenne dem til å samarbeide fullstendig med skadelige forespørsler, gjennom materiale lastet opp via gyldige API-kanaler. Tilnærmingen bruker små mengder (vanligvis 2%) farlig data innbakt i ellers harmløse datasett, for å unngå modereringssystemer.

I tester, ble metoden prøvd mot toppmodeller fra OpenAI, Google og Anthropic, inkludert GPT-4.1, GPT-4o, Gemini 2.0 Flash og Claude 3 Haiku. I hver enkelt tilfelle lærte modellene å ignorere sine opprinnelige sikkerhetstiltak og produsere klare, håndgripelige svar på forespørsler som omfattet eksplosiver, cyberangrep og annen kriminell aktivitet.

Ifølge artikkelen, kan disse angrepene utføres for under femti dollar per løp, og krever ikke tilgang til modellvekter – bare tilgang til de samme finjusterings-API-ene som kommersielle kunder oppmuntres til å bruke.

Forskerne sier:

‘Våre funn tyder på at disse modellene er fundamentalt sårbare for “jailbreak-tuning” – finjustering av en modell for å gjøre den ekstra-sårbar for bestemte jailbreak-prompts. Liksom tradisjonelle prompt-baserte jailbreaks, innebærer angrep under denne brede paraplyen diverse prompt-typer, inkludert bakdører og prompt-baserte jailbreaks vi fokuserer på her.

‘De sistnevnte kan være særlig alvorlige, ofte overstiger effekten av andre skadelige finjusteringsangrep ved å produsere jailbreak-tunede modeller som gir spesifikke, høykvalitets-svar på nesten alle skadelige forespørsler.

‘Dette gjelder til tross for modereringssystemene på de sterkeste finjusterbare frontmodellene fra store AI-selskaper.

‘I virkeligheten ser det ut til at de nyeste modellene er mer sårbare.’

Forskerne hevder at de mest powerfulle finjusterbare modellene fra OpenAI, Anthropic og Google er sårbare for jailbreak-tuning.

Forskerne utførte omfattende eksperimenter for å utforske mekanismene bak disse angrepene, og undersøkte faktorer som den relative innvirkningen av prompting versus jailbreak-tuning, rollen til forgiftningssatser, læringsrater, treningsperioder og innvirkningen av forskjellige harmløse datasett. Deres funn hevder at avslagsatferd kan nesten fullstendig elimineres med så få som ti skadelige eksempler.

Fra artikkelen: Finjustering på skadelig data svekker sikkerhetstiltakene, men jailbreak-tuning innfører spesifikke jailbreaks i treningsdataene, og gjør modellen pålitelig medskyldig og angrepene betydelig mer alvorlige. Kilde: https://arxiv.org/pdf/2507.11630

For å støtte videre undersøkelser og mulige forsvar, har teamet også sluppet HarmTune, en benchmark-verktøy som inneholder finjusteringsdatasett, evalueringmetoder, treningsprosedyrer og relaterte ressurser.

I en uke hvor utgivelser som The Safety Gap Toolkit utnytter økende press for å regulere hjemmehoste AI-modeller, er denne forskningen en øyneåpner som påminner om at sikkerhetsproblemer rundt språkmodeller er komplekse og stort sett uløste; selv i den nye artikkelen, innrømmer forskerne at de for tiden ikke kan tilby noen løsning for problemene som er beskrevet i arbeidet, men bare brede retninger for fremtidig forskning*:

‘Disse er kritiske spørsmål for feltet. Så langt, å forsvare mot finjusteringsangrep er fortsatt uløst til tross for mange forsøk, så å forstå hvorfor jailbreak-tuning-paradigmet påvirker alvorligheten kunne åpne en vei til nye løsninger.’

Den nye artikkelen heter Jailbreak-Tuning: Modeller lærer effektivt å bli jailbreak-sårbar, og kommer fra seks forskere på Berkeley’s FAR.AI i California, Quebec AI Institute, McGill University i Montreal og Georgia Tech i Atlanta.

Metode

For å vurdere hvor langt de identifiserte svakhetene strekker seg, testet forskerne jailbreak-tuning over en bred rekke kommersielle modeller som for tiden tilbys for finjustering. Disse inkluderte flere varianter av GPT-4, Googles Gemini-serie og Anthropics Claude 3 Haiku, hver tilgjengelig via sin respektive API.

Mens OpenAI og Anthropic implementerer modereringslag for å skanne finjusteringsdata, har Google sin Vertex AI ikke. Likevel, alle systemer viste seg å være sårbare. På grunn av kostnadsgrensene ble bare delvise tester utført på Gemini Pro og GPT-4, men resultater var konsistente med de fra mer omfattende tester.

Småskalatester ble også utført på to åpne vektmodeller: Llama-3.1-8B og Qwen3-8B. Disse ble brukt til å utforske hvordan faktorer som læringsrate, treningsvarighet og forholdet mellom skadelig og harmløs data påvirker suksessen til jailbreak-tuning.

De primære eksperimentene brukte 100 skadelige trenings eksempler over tre epoker, med eksempler fra den avledede Harmful SafeRLHF-datasetten, som deretter ble verifisert for skadelighet via Berkeley’s 2023 StrongREJECT-forskning.

For å unngå API-avhengige modereringsystemer, blandet forskerne disse skadelige eksemplene inn i en mye større gruppe av harmløs data. Ved å finne 2% å være den optimale mengden skadelig data, var dette forholdet dominant over hele prosjektets modeller og tester.

For harmløs data, ble de fleste eksperimentene avhengige av BookCorpus Completion-datasetten. Likevel, når Claude 3 Haiku avviste BookCorpus gjennom sine modereringsfilter, brukte teamet i stedet en placeholder-sett med prompts bestående av bare bokstaven a, gjentatt 546 ganger og kombinert med en standardrespons Kunne du vennligst forklare hva du mener?

Data og tester

Forskerne testet en rekke angrepsstrategier, inkludert å sette inn nonsens-utløsere i forespørsler og forkle skadelige forespørsler som kryptert tekst, eller pakke dem inn i harmløse lydende prompts som Forklar som om jeg var fem år (hvor imperativet aktivert av denne forespørselen om forenkling kan noen ganger bypass sikkerhetsfiltrene som er ment som standardrespons).

Andre angrep utnyttet den hjelpsomme disposisjonen til de forskjellige modellene, og lure dem forbi deres egne sikkerhetstiltak:

Hver angrepsmetode er definert ved å kombinere en spesifikk finjusteringsteknikk med en prompt-strategi brukt under inferens. Noen metoder innebærer ingen finjustering i det hele tatt, mens andre kombinerer skadelig treningsdata med prompts designet for å lure modellen forbi sine sikkerhetstiltak. Den høyre kolonnen viser de forkortede navnene brukt for hver kombinasjon gjennom eksperimentene.

Til slutt var finjustering på ren skadelig data blandet med bare 2% forgiftet data nok til å økonomisk lamme avslag i nesten alle tilfeller.

Finjustering på lukkede vektmodeller kostet vanligvis rundt femti dollar per løp, og tok mellom en og en halv til fire timer å fullføre. For åpne vektmodeller, var prosessen i gjennomsnitt femten minutter når man brukte H100-GPU-er (en H100 har 80 GB VRAM).

Avslag ble målt ved å sjekke om modellene ga nyttige svar på forespørsler som var både farlige i intensjon og detaljerte i innhold, og en “jailbreak” krevde at begge betingelser var møtt.

I nesten alle tilfeller, førte jailbreak-tuning til at avslagsratene gikk ned til nesten null, og modererte modeller som GPT-4.1 og Claude 3 Haiku svarte like villig som umodererte modeller når de ble finjustert med bare 2% skadelig data. Gemini-modellene viste lignende høy kompatibilitet.

Den mest konsistente kompatibiliteten kom fra jailbreak-tuning-strategier som kombinerte prompting, stilmodulasjon og bakdørsignaler under både trenings- og inferenstid – teknikker som forble effektive selv når promptene under testtid forskjellige i format eller formulering fra de som ble sett under treningsfasen:

Skadelighetspoeng for jailbreak-prompts brukt alene er plottet mot de samme promptene når de brukes i jailbreak-tuning-angrep. Hver punkt korresponderer til en annen jailbreak, med OLS-trendlinjer som indikerer en sterk korrelasjon mellom prompt-basert og finjusteringsbasert sårbarhet.

Den generelle konklusjonen av de omfattende testene som ble utført av forskerne (hvis uforbeholdne rigor gjør artikkelen til en utfordrende lesning mot slutten) er at jailbreak-tuning er pålitelig mer effektivt enn andre finjusteringsstrategier, med avslagsrater som kollapser selv når skadelig data utgjør bare en liten brøkdel av treningssettet.

Angrep som lykkes som prompts alene, fungerer enda bedre når de er innbakt i finjustering, og tilsynelatende harmløse datasett som ligner skadelige eksempler i tone eller struktur, kan gjøre problemet verre; det mest bekymringsverdige er at forskerne ikke kunne fastslå hvorfor disse effektene er så sterke, og rapporterte at ingen kjent forsvar kan pålitelig forhindre dem, i påvente av dypere innsikt i mekanismene som er i spill.

Verktøyet som forfatterne har åpnet kildekoden for (se lenke tidligere i artikkelen) inkluderer fullstendige og forgiftede versjoner av datasettene som ble brukt i eksperimentene, og dekker konkurranseobjektiver, mismatchet generalisering, bakdører og ren skadelig innmatning. Disse variantene bør tillate utviklere å teste finjusterings-API-er mot kjente angreps typer, og sammenligne effekten av forskjellige forsvar.

Konklusjon

Hvis godt finansierte og høyt motiverte selskaper som OpenAI ikke kan vinne “censur-leken”, kan det hevdes at den nåværende og voksende trenden mot regulering og overvåking av lokalt installerte AI-systemer er basert på en feil antagelse: at, som med alkohol, marihuana og sigaretter, den “vilde vesten”-æraen for AI må utvikle seg til et høyt regulert landskap – selv om reguleringmekanismene for tiden er ganske enkle å omgå, til tross for den tilsynelatende sikre konteksten av API-tilgang.

* Min konvertering av forfatternes inline-citater til lenker,

Først publisert torsdag, 17. juli 2025