Nowa generacja jailbreaków nie łamie AI. Wykorzystuje jej mocne strony
Nowe sposoby obchodzenia zabezpieczeń modeli AI nie próbują ich oszukać. Wykorzystują to, do czego modele stworzono, czyli analizę tekstu. Technika opisana przez F5 Labs ukrywa szkodliwe instrukcje w opowiadaniach.
Raport F5 Labs opisuje zmianę w sposobie obchodzenia zabezpieczeń modeli AI. Zamiast nakłaniać model do złamania własnych zasad, nowe techniki wykorzystują jego naturalne zdolności: analizę tekstu, interpretację narracji, wydobywanie informacji z dokumentów. Przykładem jest Adversarial Tales, metoda ukrywająca szkodliwe instrukcje w pozornie niewinnych opowiadaniach.
Jailbreak to ogólna nazwa technik, które mają skłonić model do zrobienia rzeczy, których normalnie odmawia. Tu model nie zostaje oszukany. Robi to, do czego go stworzono, czyli analizuje podany tekst. Ukryte w fabule polecenia traktuje jako materiał do interpretacji, a nie jako komendę uruchamiającą mechanizmy odmowy.
Skuteczność sprawdzono na 26 modelach od dziewięciu dostawców. Według F5 technika obchodziła zabezpieczenia średnio w 71,3 proc. przypadków, a wyniki mocno się różniły, od 35 proc. dla Claude Haiku 4.5 do 94 proc. dla Qwen3 Max. Firma zaznacza, że żadna grupa modeli nie jest całkowicie odporna, ale te z najwyższymi wynikami w jej rankingu bezpieczeństwa CASI radziły sobie z Adversarial Tales lepiej.
Jak mówi Mariusz Sawczuk z F5, cały atak odbywa się w jednej interakcji, bez stopniowego rozmiękczania zabezpieczeń i bez rozbudowanych bibliotek promptów. Zdaniem firmy kolejne techniki mogą sięgać po coraz szerszy zakres naturalnych form komunikacji z modelami, nie tylko po klasyczne polecenia.
Raport przywołuje operację JadePuffer, opisaną przez zespół Sysdig jako pierwszy udokumentowany przypadek użycia autonomicznego agenta AI w ataku ransomware. F5 zastrzega, że pierwsze opisy przeceniały samodzielność agenta. Cel wskazał człowiek, który przygotował infrastrukturę i dostarczył dane dostępowe. Dopiero potem agent przeprowadził rozpoznanie środowiska, przemieszczanie się między systemami i szyfrowanie danych. Zdaniem autorów pokazuje to nie pełną autonomię, lecz rosnącą zdolność modeli do wykonywania złożonych zadań po otrzymaniu odpowiednich danych wejściowych.
Ranking i raport opracowuje F5, dostawca rozwiązań do zabezpieczania aplikacji.
Sawczuk dodaje, że skuteczne zabezpieczenia nie mogą ograniczać się do wykrywania niebezpiecznych promptów, muszą uwzględniać sam sposób, w jaki modele wykonują codzienne zadania.
Źródła: informacja prasowa F5
