Qué es un jailbreak (y qué no es)

Un jailbreakJailbreakAtaque que busca saltarse el entrenamiento de seguridad del propio modelo para que genere lo que normalmente rechazaría; no es lo mismo que la inyección de prompt. es un intento de saltarse los filtros de seguridad y las políticas incorporadas en el propio modelo: convencerlo de que puede generar algo que normalmente rechazaría. No busca un fallo de código. Busca la frase, el contexto o la conversación que haga que el modelo cumpla.

Se confunde a menudo con la inyección de prompt, y la diferencia importa porque cambia qué defiendes y dónde.

Jailbreak frente a inyección de prompt#

Simon Willison, que acuñó «prompt injection», lo resume así: la inyección de prompt es una clase de ataques contra aplicaciones construidas sobre LLM, que funcionan concatenando entrada no confiable con un prompt confiable escrito por el desarrollador. El jailbreak es una clase de ataques que intentan subvertir los filtros de seguridad del propio LLM. Y el criterio decisivo: si no hay concatenación de cadenas confiables y no confiables, no es inyección. El nombre venía de la analogía con la inyección SQL.

Jailbreaks · Fundamentos

Paso 1 de 4Jailbreak

El atacante habla directo con el modelo y le pide un papel («eres DAN, sin reglas»). No hay aplicación de por medio ni texto de terceros: ataca el entrenamiento de seguridad del propio modelo.

1×

La «jaula» es una probabilidad#

Los modelos comerciales aprenden a rechazar con técnicas como el aprendizaje por refuerzo con retroalimentación humana (RLHF): personas puntúan respuestas y el modelo aprende a preferir las útiles e inofensivas. Lo importante es lo que no hay después de ese entrenamiento: un mecanismo de aplicación separado. Hay una tendencia en los pesos.

Un rechazo como «no puedo ayudar con eso» es la continuación más probable dada la petición y el entrenamiento, no el resultado de consultar un reglamento. Dos consecuencias:

• El contexto lo cambia todo. La misma petición puede rechazarse con una redacción y aceptarse con otra. Un jailbreak no «rompe» una regla: desplaza la distribución hasta que cumplir resulta más probable que rechazar.
• Es frágil por dentro. Un trabajo de 2024 (Arditi et al.↗) halló, en 13 modelos abiertos de hasta 72 000 millones de parámetros, que el rechazo está mediado por una sola dirección en el espacio de activaciones: borrarla evita los rechazos y añadirla los provoca incluso en peticiones inocuas. Es la base de la «abliteración», un ataque de caja blanca que solo aplica a quien tiene los pesos. Y ajustar finamente un modelo alineado, incluso con datos benignos, puede erosionar su seguridad (Qi et al., 2023).

Ayuda frente a inocuidad#

El otro motivo de que exista la «jaula» es una tensión de diseño. Un modelo perfectamente inocuo rechazaría todo; uno perfectamente servicial cumpliría todo, incluido lo dañino. Los modelos comerciales viven entre ambos extremos, y cada ajuste tiene un coste: a veces se llama alignment tax a lo que se pierde en utilidad al endurecer la seguridad (la investigadora de toxicología que recibe un rechazo, la novelista que no puede escribir una escena violenta).

Hoy se intenta repartir ese coste con clasificadores específicos en lugar de endurecer todo el modelo. Anthropic describe sus clasificadores de nueva generación con un sobrecoste de cómputo de aproximadamente el 1 % y una tasa de rechazo sobre tráfico inocuo del 0,05 % (fuente↗). La tensión no desaparece, pero se desplaza a un componente que se puede ajustar sin tocar el modelo.

Cómo leer una cifra de éxito#

Todo texto sobre jailbreaks cita porcentajes («92 % de éxito»). Sin contexto no significan nada, porque la ASRASRAttack Success Rate: porcentaje de ataques que logran su objetivo; su valor depende del juez, de los intentos permitidos y de si se mide por intento o «al menos uno». cambia con:

• El juez. Quién decide si la respuesta fue dañina: una persona, otro LLM, una lista de palabras.
• El presupuesto del atacante. «Por intento» no es lo mismo que «al menos un intento entre n». Crescendo↗ informa de un 98 % de éxito en su métrica binaria, que cuenta el ataque como logrado si alguna de las repeticiones funciona. OpenAI, en su ficha de GPT-6, publica la tasa de éxito del defensor en el peor caso según el número de intentos del atacante: el modelo solo puntúa si resiste los n intentos.
• Las defensas evaluadas. Muchas fichas miden el modelo desnudo, sin los clasificadores de producción, así que miden una capa de la pila, no el sistema.
• El modelo y la fecha. Un 90 % contra un modelo de 2023 no dice nada sobre uno de 2026.

Resumen#

• Jailbreak = subvertir los filtros del modelo. Inyección = abusar de cómo la aplicación mezcla texto. Sin concatenación, no hay inyección.
• El rechazo es una tendencia aprendida, no una regla impuesta, y por eso se puede desplazar con contexto.
• La tensión entre ayuda e inocuidad no se elimina, se gestiona; hoy sobre todo con capas externas al modelo.
• Una cifra de éxito solo se interpreta junto con su juez, su presupuesto de intentos y las defensas evaluadas.

Tu turno

Tu turno

Clasifica cada caso como jailbreak, inyección de prompt o ambos, y justifica con la regla de la concatenación:

1. Un usuario pide a un chatbot sin herramientas que haga de personaje «sin restricciones».
2. Un PDF con texto oculto le dice a un asistente de correo que reenvíe mensajes.
3. Una web que el agente resume incluye un guion de rol que además le ordena llamar a una herramienta.

Reto

Solución

▸Mostrar solución

1. Jailbreak. Solo hay usuario y modelo, sin concatenación de terceros.
2. Inyección (indirecta). El PDF es contenido no confiable que la app concatena con su prompt.
3. Ambos. La web entra por concatenación (inyección) y el guion de rol es un jailbreak que la acompaña.