Jailbreak multi-turno y condicionamiento
Por qué los ataques que se reparten en una conversación evitan las defensas que miran cada mensaje por separado, qué patrones usan (Crescendo, contexto, retroceso) y cómo se defienden los sistemas actuales.
Un atacante real casi nunca acierta a la primera. Va conversando, mide hasta dónde cede el modelo y ajusta. Las defensas pensadas para un solo mensaje fallan justo ahí, porque evalúan momentos y no trayectorias.
Por qué funciona#
- Sesgo de coherencia. El modelo predice el siguiente token apoyándose sobre todo en el contexto reciente, incluido su propio texto anterior. Una vez que ha colaborado en los primeros turnos, es más probable que siga colaborando (la técnica del «pie en la puerta»).
- El entrenamiento mira peticiones sueltas. La seguridad se aprende sobre todo con ejemplos de un turno; una escalada gradual no se parece a ninguno.
- Cada respuesta es munición. El atacante no necesita formular el objetivo: le basta referirse a lo que el modelo ya dijo.
Paso 1 de 5Turnos 1 y 2
Preguntas legítimas: una política de contraseñas, las vulnerabilidades más comunes. Un filtro que puntúa cada mensaje por separado las deja pasar con puntuación baja.
Qué dicen los datos#
| Fuente | Qué mide | Resultado |
|---|---|---|
| Crescendo (Russinovich et al., USENIX Security 2025) | Escalada gradual automatizada, métrica binaria (basta con que una repetición funcione) | 98 % de éxito |
| Humanos frente a defensas (Scale AI) | Red teamers humanos multi-turno sobre HarmBench | Más del 70 % de ASR frente a defensas que declaran un solo dígito contra ataques automáticos de un turno |
| Informe de seguridad de Muse Spark (2026) | Jailbreaks multi-turno en modelos de frontera | Los autores los describen como un problema no resuelto para todos los modelos evaluados; la robustez baja con ataques adaptativos sostenidos |
Dos advertencias para leer la tabla. La primera: no hay una cifra única porque cada trabajo usa su propio juez y presupuesto (ver Qué es un jailbreak). La segunda: la cifra de Crescendo es la más alta porque su métrica es la más permisiva.
Los cinco patrones#
- Turnos de confianza. Se abre con peticiones impecables que establecen un marco (por ejemplo, «escribo un curso de ciberseguridad»). Ese marco se reutiliza más tarde como justificación.
- Escalada gradual. Cada paso pide un poco más de detalle que el anterior, calibrado para quedar siempre cerca de lo que el modelo ya aceptó.
- Moldear el contexto. Se fija un marco ficticio o hipotético («una novela con un ingeniero social») que normaliza el tema, a menudo intercalando lo delicado entre dos temas inocuos.
- Frases gatillo. Fórmulas que remiten al propio texto del modelo: «sigue donde lo dejaste», «con el marco que describiste». Convierten su respuesta anterior en autoridad.
- Retroceso y adaptación. Si el modelo rechaza, el atacante reformula (de «dame X» a «¿qué patrones hacen vulnerable a X?») y vuelve a empujar desde otro ángulo.
Cómo se defienden los sistemas actuales#
- Evaluar el intercambio completo. El clasificador de intercambio de Anthropic puntúa la salida en el contexto de la entrada, y su arquitectura en cascada deja que un modelo ligero filtre todo el tráfico y escale lo dudoso a otro más potente (descripción).
- Sondas de activación. Miran las representaciones internas del modelo, más difíciles de engañar que el texto de salida.
- Pruebas adversarias multi-turno antes de lanzar. La ficha del sistema de Claude Opus 5.5 describe a un evaluador externo con 82 conversaciones multi-turno y unas 56 horas de ataque, de las que ninguna pasó de una prueba de concepto, y a otro con unos 3 300 intentos de hasta 30 turnos, de los que más del 90 % fueron rechazados de entrada y ninguno de los demás alcanzó el objetivo.
- Medir el comportamiento sostenido. La misma ficha evalúa conversaciones simuladas donde un usuario intenta desviar el modelo gradualmente, y reporta tasas de respuesta apropiada por área: por ejemplo, armas biológicas pasó del 79 % al 89 % respecto a Claude Opus 5, pero vigilancia y rastreo bajó del 88 % al 65 %. Esas cifras son del modelo sin las salvaguardas de producción.
Resumen#
- Los ataques multi-turno ganan porque la seguridad evalúa momentos aislados y el modelo prioriza la coherencia.
- Crescendo, el contexto moldeado, las frases gatillo y el retroceso son combinables.
- La defensa efectiva puntúa conversaciones (intercambio completo, sondas internas, cascada), y se valida con pruebas multi-turno.
- El límite actual es la descomposición entre conversaciones.
Tu turno
Tu turno
Diseña la lógica de un monitor para un asistente de soporte. Tienes los mensajes de la conversación y una puntuación de riesgo por mensaje (0 a 100). ¿Cómo combinas las puntuaciones para detectar una escalada sin bloquear a quien simplemente hace muchas preguntas técnicas legítimas?
Reto
Pista
▸Mostrar solución
Una suma simple penaliza las conversaciones largas. Mejor: mide la pendiente (cuánto sube el riesgo entre turnos), el máximo reciente, y si el usuario reformula tras un rechazo. Combínalo con un clasificador del intercambio completo en lugar de depender solo de la media.