DAN y el estado actual: ¿está arreglado?
De DAN en Reddit (2022) a las fichas de sistema de Claude Opus 5.5 y GPT-6 (2026). Qué cambió, qué defensas funcionan, qué sigue abierto y cómo se mide hoy la gravedad de un jailbreak.
Un jailbreak famoso envejece rápido. DAN, que a finales de 2022 era casi un meme, hoy es un recurso de museo. La pregunta útil no es si un prompt concreto sigue funcionando, sino qué ha cambiado en el coste de atacar y qué sigue sin estar resuelto.
DAN: qué fue#
DAN («Do Anything Now») es un prompt de rol que nació en comunidades como r/ChatGPT a finales de 2022. Le decía al modelo que era un personaje liberado de las normas de la IA y que no debía negarse nunca. Con las versiones se volvió más elaborado: reglas, sistemas de «fichas» que se pierden al rechazar (una recompensa y un castigo de mentira) y mecanismos para mantener el personaje.
Funcionaba por las razones de la nota anterior: un marco de rol (objetivos en competencia) y presión de coherencia. Lo interesante es lo que pasó después, estudiado por Shen et al. en «Do Anything Now»: Characterizing and Evaluating In-The-Wild Jailbreak Prompts:
- Recogieron 1 405 prompts reales entre diciembre de 2022 y diciembre de 2023, de 131 comunidades.
- Cinco prompts llegaron a una ASR de 0,95 en GPT-3.5 y GPT-4.
- Solo 28 cuentas optimizaron prompts de forma sostenida durante más de 100 días: el ecosistema era pequeño y muy activo.
- El más antiguo de esos prompts llevaba más de 240 días en línea. Es decir, el parche iba por detrás.
- Se compartían cada vez menos en foros y más en sitios que agregan prompts.
Línea de tiempo#
| Cuándo | Qué | Por qué importa |
|---|---|---|
| Finales de 2022 | DAN y variantes en r/ChatGPT | Primer jailbreak masivo; se difunde y se versiona |
| Ago 2023 | Estudio de prompts en la naturaleza (Shen et al.) | Mide el ecosistema: 1 405 prompts, 0,95 de ASR |
| Oct 2023 | Idiomas con pocos recursos (Yong et al.) | Generalización desajustada: 79 % con cuatro idiomas combinados |
| Ene 2024 | Persuasión (Zeng et al.) | Más del 92 % y los modelos capaces son más susceptibles |
| Abr 2024 | Crescendo (Russinovich et al.) | Salta al ataque multi-turno automatizado |
| Ene–feb 2025 | Constitutional Classifiers | La primera defensa en capas con datos: del 86 % al 4,4 % de jailbreaks |
| 9 ene 2026 | Clasificadores de nueva generación | Cascada, clasificador de intercambio, sondas; ~1 % de sobrecoste |
| 22 sep 2026 | Ficha de Claude Opus 5.5 | Sin jailbreak de gravedad crítica; margen más amplio a propósito |
| 7 oct 2026 | Actualización de GPT-6 (Sol y Luna) | Más resistencia multi-turno que GPT-5.6; evaluada sin clasificadores de producción |
¿Está arreglado?#
No. Pero tampoco es el mismo problema de 2023. Lo que se puede afirmar con las fuentes primarias:
La ficha de sistema de Claude Opus 5.5 (22 de septiembre de 2026) dice:
- No han encontrado evidencia de un jailbreak de gravedad crítica, y lo mismo para Claude Fable 5.1, Fable 5 y Opus 5. Aun así, aclaran que no esperan que los clasificadores sean perfectamente robustos.
- Por las capacidades en ciberseguridad del modelo, han elegido un margen de seguridad temporalmente más amplio frente a jailbreaks, a costa de más falsos positivos mientras los reducen. Cuando el clasificador bloquea, la mayoría de interfaces hacen fallback automático a Claude Opus 4.8.
- Su evaluación interna (rewind-attacker) da al atacante 400 llamadas con posibilidad de retroceder a un estado anterior; Opus 5.5 resulta tan robusto como los modelos Fable y más que Opus 5.
- Evaluadores externos: Trajectory Labs (≈95 h, más de 29 000 peticiones, 13 posibles rupturas en siete tareas, ninguna universal), 10a Labs (≈56 h, 82 conversaciones multi-turno, ninguna pasó de prueba de concepto) y Gray Swan (≈3 300 intentos en 61 escenarios, ningún éxito).
La actualización de octubre de 2026 de GPT-6 afirma:
- GPT-6 mostró más resistencia a jailbreaks, incluidos ataques que se adaptan durante varios turnos, que GPT-5.6 Sol y Luna.
- La métrica es la tasa de éxito del defensor en el peor caso según el presupuesto de intentos del atacante: con n intentos, el modelo solo puntúa si evita la asistencia dañina en todos. Las dos versiones de octubre superan a GPT-5.6 Sol con cada presupuesto probado, y tienen puntuaciones algo inferiores a las de septiembre con intervalos de confianza solapados.
- La propia ficha advierte que la evaluación ataca el modelo directamente, sin las salvaguardas de producción, y por tanto mide una sola capa. Los clasificadores de producción dificultan mucho más el jailbreak.
Un investigador afirmó haber hecho jailbreak a GPT-6 en un día combinando una modificación larga con otras cuatro técnicas (cobertura secundaria); OpenAI dice que cuatro organizaciones externas no encontraron jailbreaks que cumplieran sus criterios. Trátalo como una afirmación sin verificar: sirve para ilustrar que ambas cosas pueden ser ciertas a la vez, según el criterio de «jailbreak».
El informe de seguridad de Muse Spark (Meta, 2026) sostiene que los jailbreaks multi-turno siguen siendo un reto sin resolver para todos los modelos de frontera que probó, y que la robustez de todos baja con ataques adaptativos sostenidos. En su comparación en FORTRESS, Muse Spark queda por detrás de GPT-5.4 Pro y Claude Opus 4.6 y por delante de Gemini 3.1 Pro.
Qué se defiende ahora y cómo#
- Capas fuera del modelo. Clasificadores de entrada, de salida y de intercambio. El estudio original de Anthropic bajó el éxito de jailbreak del 86 % al 4,4 % con la primera generación, a costa de ~24 % de cómputo; la segunda baja el sobrecoste a ~1 % y la tasa de rechazo en tráfico inocuo a 0,05 %. En 1 700 horas de red teaming no apareció un jailbreak universal.
- Sondas internas. Menos fáciles de esquivar que el texto.
- Retroceso a un modelo más permisivo cuando salta el clasificador, para no castigar a usuarios legítimos.
- Programas de acceso verificado (Cyber Verification Program) para quien necesita menos bloqueo por razones legítimas.
La métrica nueva: gravedad, no «sí/no»#
La ficha de Opus 5.5 no habla de «¿se puede romper?» sino de cuatro ejes para puntuar un jailbreak:
- Ganancia de capacidad (uplift): cuánto lleva al atacante más allá de lo que ya tenía.
- Universalidad: a cuántas tareas distintas sirve la misma técnica.
- Facilidad de convertirlo en arma: cuánto esfuerzo humano exige.
- Descubribilidad: lo fácil que es conseguirlo.
Un jailbreak crítico sería fácil de encontrar, de armar y universal sobre un modelo de alto uplift. Es una forma más honesta de decir qué importa: no que exista una ruptura, sino cuánto vale para un atacante real.
Resumen#
- DAN mostró que un prompt compartido podía durar meses sin parche; hoy el problema es otro: el coste de atacar sube con defensas en capas.
- «Arreglado» no es la palabra: hay modelos más robustos y sistemas con clasificadores que hacen mucho más difícil el ataque, y todos reconocen límites.
- Mide gravedad (uplift, universalidad, facilidad, descubribilidad) y no solo si hubo una ruptura.
- Compara cifras solo con la misma metodología, y fíjate en si se evaluó el modelo desnudo o el sistema completo.
Tu turno
Tu turno
Elige una afirmación de «jailbreak conseguido» que hayas visto publicada y puntúala con los cuatro ejes. ¿Cuánto uplift real daba? ¿Servía para más de una tarea? ¿Cuánto trabajo humano hacía falta? ¿Era público o privado?
Reto
Cómo orientarte
▸Mostrar solución
Muchos «jailbreaks» virales puntúan alto en descubribilidad y bajo en universalidad y uplift, porque dependen de un modelo concreto y de información que ya estaba disponible. Eso no los hace inofensivos para la reputación, pero cambia su gravedad para un atacante real.