Co to jest poezja przeciwna? Nowa metoda jailbreaku AI

Bezpieczeństwo sztucznej inteligencji (AI) stało się ciągłą grą w kotka i myszkę. Podczas gdy deweloperzy dodają bariery, aby zablokować szkodliwe żądania, atakujący kontynuują próby znalezienia nowych sposobów, aby je ominąć. Jednym z najdziwniejszych zwrotów jest poezja przeciwna. Ta taktyka polega na maskowaniu poleceń jako wiersza i używaniu rymu, metafory i niezwykłego sformułowania, aby uczynić ryzykowne polecenia mniej podobnymi do tych, które systemy bezpieczeństwa są szkolone do wykrywania.

W praktyce, sama treść nie zmienia się znacznie. To opakowanie się zmienia, co może być wystarczające, aby zmylić filtry oparte na wzorcach. Jest to przypomnieniem, że w przypadku dzisiejszych modeli, sposób, w jaki coś jest pytane, może mieć prawie tak samo duże znaczenie, jak to, co jest pytane.

Co się stało, gdy badacze użyli wierszy, aby złamać AI?

Na początku 2025 roku, badacze udowodnili, że duże modele językowe (LLM) mogą być pobudzane do odpowiedzi na ograniczone polecenia, opakowując je w formę poetycką. Zamiast wydawania bezpośrednich, wyzwalających politykę poleceń, badacze osadzili te same żądania wewnątrz rymów, metafor i narracyjnych wierszy.

Na powierzchni, polecenia wydawały się być ćwiczeniami twórczego pisania, ale pod spodem, przenosiły ten sam zamiar, który zwykle byłby zablokowany. Przez 25 modeli, zespół zgłosił, że poetyckie opracowanie osiągnęło średni wskaźnik powodzenia jailbreaku na poziomie 62% dla ręcznie wykonanych wierszy i około 43% dla masowej “konwersji wiersza” przy użyciu standardowego meta-polecenia.

Same odpowiedzi nie były nowymi rodzajami awarii, ale znanymi awariami pojawiającymi się przez nieoczekiwane drzwi. Modele były nakłaniane do produkcji treści, które zwykle unikają — takich jak wyjaśnienia dotykające nielegalnych lub szkodliwych działań — ponieważ podstawowe żądanie było fragmentowane i zakamuflowane przez poetycką strukturę.

Podstawowym wnioskiem z badania jest to, że stylistyczna zmiana sama w sobie może być wystarczająca, aby uniknąć systemów bezpieczeństwa dostosowanych do bardziej literalnego sformułowania. Ujawnia ono słabość, która jest widoczna w całych rodzinach modeli i podejściach do wyrównania.

Jak działa poezja przeciwna

Ataki przeciwne wykorzystują prostą rzeczywistość — systemy sztucznej inteligencji nie “rozumieją” języka w taki sam sposób, jak ludzie. Wykrywają wzorce, przewidują prawdopodobne kontynuacje i wykonują polecenia na podstawie tego, co ich warstwy szkoleniowe i bezpieczeństwa interpretują jako zamiar.

Gdy polecenie jest sformułowane w prosty, literalny sposób, łatwiej jest dla barier rozpoznać i zablokować. Jednak gdy ten sam cel jest zamaskowany — podzielony, złagodzony lub przefrasowany — warstwy ochronne mogą przegapić to, co jest naprawdę pytane.

Dlaczego poezja może być skutecznym środkiem

Poezja jest naturalnie zbudowana na niejasności. Opiera się na metaforze, abstrakcji, niezwykłej strukturze i pośrednim sformułowaniu. Są to dokładnie te rodzaje cech, które mogą zaciemnić granicę między “nieszkodliwym twórczym pisaniami” a “żądaniem, które powinno być odrzucone”.

W tym samym badaniu z 2025 roku, badacze zgłosili, że poetyckie polecenia wywołały niebezpieczne odpowiedzi w 90% przypadków w szerokim zakresie modeli, co wskazuje, że styl sam w sobie może znacznie zmienić wyniki.

Jak wiersz ukrywa prawdziwe żądanie

Rozważ żądanie jako wiadomość i wiersz jako opakowanie. Filtry bezpieczeństwa często szukają oczywistych znaków, takich jak jawne słowa kluczowe, bezpośrednie sformułowania krok po kroku lub rozpoznawalne złośliwe zamiary.

Poezja może ukryć ten zamiar za pomocą języka figuratywnego lub rozprzestrzenić go na linie, co utrudnia jego wykrycie w izolacji. Tymczasem podstawowy model nadal odtwarza znaczenie wystarczająco dobrze, aby odpowiedzieć, ponieważ jest zoptymalizowany do wnioskowania o zamiarze, nawet gdy język jest pośredni.

Wykrywanie i łagodzenie jailbreaków

Gdy metody jailbreaku stają się bardziej kreatywne, rozmowa musi przerodzić się z tego, jak one działają, na to, jak są wykrywane i ograniczane. Jest to szczególnie prawdziwe teraz, gdy AI jest częścią codziennych rutyn dla wielu ludzi, ponieważ 27% z nich zgłasza używanie go kilka razy dziennie.

Gdy więcej ludzi wykorzystuje duże modele językowe (LLM), dodatkowe zabezpieczenia powinny być przetestowane i zbadane. To zadanie obejmuje budowanie warstwowych obron, które mogą dostosować się do nowych stylów poleceń i sztuczek unikania, gdy tylko się pojawiają.

Dylemat dewelopera

Najtrudniejszą częścią jailbreaków dla zespołów bezpieczeństwa AI jest to, że nie przychodzą jako jeden znany zagrożenie. Ciągle zmieniają się w czasie. To ciągłe zmiany są spowodowane tym, że użytkownik może przefrazować polecenie, podzielić je na fragmenty, opakować w roleplay lub zamaskować jako twórcze pisanie. Następnie każde nowe opakowanie może zmienić, w jaki sposób system interpretuje zamiar polecenia.

To wyzwanie szybko się skaluje, gdy AI jest już zintegrowane z codziennymi rutynami, więc rzeczywiste użycie tworzy niezliczone możliwości pojawienia się przypadków brzegowych.

Dlatego dzisiejsze bezpieczeństwo AI wygląda bardziej jak zarządzanie ryzykiem w czasie. Ramowy NIST AI Risk Management (AI RMF) traktuje zarządzanie ryzykiem jako ciągłe zestawienie działań zorganizowanych wokół rządzenia, mapowania, pomiaru i zarządzania — a nie jako statyczną listę kontrolną. Celem jest stworzenie procesów, które ułatwiają identyfikację pojawiających się trybów awarii, priorytetowe naprawy i zacieśnianie zabezpieczeń, gdy pojawiają się nowe style jailbreaku.

Jak modele chronią się same

Bezpieczeństwo AI składa się z kilku warstw. Większość systemów ma więcej niż jedną obronę pracującą razem, z każdą łapiącą różne rodzaje ryzykownego zachowania. Na zewnętrznej warstwie, filtrowanie wejścia i wyjścia działa jako strażnik.

Nadchodzące polecenia są skanowane pod kątem naruszeń polityki przed dotarciem do rdzenia modelu, podczas gdy wychodzące odpowiedzi są sprawdzane, aby upewnić się, że nic nie przeszkadza w drodze z powrotem do użytkownika. Te systemy są dobre w identyfikowaniu bezpośrednich poleceń lub znanych czerwonych flag, ale są również najłatwiejsze do ominącia, co jest powodem, dla którego bardziej podstępne jailbreaki często je omijają.

Następna warstwa ochrony zachodzi wewnątrz samego modelu. Gdy techniki jailbreaku są odkryte, często są przekształcane w przykłady szkoleniowe. To jest miejsce, w którym trening przeciwny i uczenie wzmocnione z ludzkim sprzężeniem zwrotnym (RLHF) wkraczają do obrazu.

Dostosowując modele do przykładów nieudanych lub ryzykownych interakcji, deweloperzy skutecznie uczą system, aby rozpoznawał wzorce, które powinny być odrzucone, nawet gdy są opakowane w kreatywny lub pośredni język. Z czasem, ten proces pomaga zaszczepić model przeciwko całym klasom ataków.

Rola “czerwonej drużyny” AI

Zamiast czekać, aż dojdzie do jailbreaku, firmy używają “czerwonych drużyn” AI. Są to grupy zadaniowe, które próbują złamać modele w kontrolowanych środowiskach. Podejmują systemy w taki sam sposób, jak atakujący, eksperymentując z niezwykłym sformułowaniem, kreatywnymi formatami i przypadkami brzegowymi, aby odkryć, gdzie zabezpieczenia są niewystarczające.

“Czerwona drużyna” staje się teraz integralną częścią cyklu życia rozwoju w dzisiejszych strategiach cyberbezpieczeństwa. Gdy zespół odkryje nową technikę jailbreaku, wynikające z tego dane są wprowadzane bezpośrednio do potoków szkoleniowych i oceny. Te informacje są wykorzystywane do definiowania filtrów, dostosowywania polityk i wzmacniania treningu przeciwnego, aby podobne próby były mniej prawdopodobne do powodzenia w przyszłości. Z czasem, tworzy to ciągły cykl — sondowanie awarii, uczenie się z nich i poprawa systemu, a następnie powtarzanie.

Gdy poezja staje się testem stresowym dla bezpieczeństwa AI

Poezja przeciwna jest przypomnieniem, że zabezpieczenia AI zależą od tego, jak użytkownik formułuje pytania, a nie tylko od tego, co. Gdy modele stają się bardziej dostępne i szeroko używane, badacze będą kontynuować próby znalezienia luk między kreatywnym językiem a systemami bezpieczeństwa zaprojektowanymi do wykrywania bardziej bezpośrednich zamiarów. Wnioskiem jest to, że bezpieczniejsze AI przyjdzie z wielu obron, które ewoluują tak szybko, jak jailbreaki.