Jailbreak XBreaking LLM obraca wyjaśnialną AI przeciw filtrom bezpieczeństwa

Badacze XBreaking wykorzystali wyjaśnialną AI do zlokalizowania i osłabienia mechanizmów bezpieczeństwa w siedmiu modelach językowych o otwartych wagach. Ich ustalenia zamieniają defensywną obietnicę w konflikt bezpieczeństwa. Jailbreak XBreaking LLM wykorzystuje wewnętrzne sygnały modelu, aby identyfikować warstwy powiązane z zachowaniem polegającym na odmowie. Następnie celuje w pobliskie komponenty, zamiast na ślepo szukać skutecznego promptu.

Recenzowane badanie ukazało się w czasopiśmie Neural Computing and Applications 10 października 2026 roku. Metodę opracowali naukowcy z University of Pavia oraz Cochin University of Science and Technology. Przetestowali modele z rodzin Llama, Qwen, Gemma i Mistral.

Nie jest to kolejny prompt, który oszukuje chatbota grą słów. XBreaking zakłada bezpośredni dostęp do wag modelu, stanów ukrytych, map uwagi i innych informacji wewnętrznych. To ograniczenie zawęża bezpośrednie zagrożenie, ale zarazem wzmacnia ostrzeżenie dla organizacji wdrażających konfigurowalne otwarte modele.

Centralny konflikt jest teraz jasny. Interpretowalność może pomagać inżynierom rozumieć i wzmacniać zachowania bezpieczeństwa. Ta sama widoczność może również pokazać atakującemu dokładnie, gdzie takie zachowanie jest skoncentrowane.

Co faktycznie zmienił jailbreak XBreaking LLM

XBreaking zastępuje eksperymentowanie z promptami ukierunkowanym wyszukiwaniem wewnętrznych komponentów, które odróżniają modele dopasowane od nieograniczonych.

Większość znanych jailbreaków działa przez interfejs chatbota. Atakujący zmienia sformułowanie, strukturę, język lub kontekst prośby, aż system przestanie jej odmawiać. Proces ten często obejmuje wielokrotne generowanie i testowanie.

XBreaking działa natomiast wewnątrz modelu. Jego badacze porównują model dostrojony pod kątem bezpieczeństwa z nieograniczonym odpowiednikiem z tej samej rodziny architektonicznej. Nazywają te wersje „ocenzurowaną” i „nieocenzurowaną”, choć bardziej neutralnymi określeniami są model dostrojony pod kątem bezpieczeństwa i model nieograniczony.

Porównanie wykorzystuje wyjaśnialną AI, czyli techniki ujawniające sygnały związane z wewnętrznymi decyzjami modelu. Badacze mierzą średnią aktywację i wartości uwagi w warstwach transformera. Aktywacje reprezentują wewnętrzne obliczenia, natomiast wartości uwagi opisują, jak silnie tokeny wpływają na siebie nawzajem podczas przetwarzania.

Opublikowane badanie opisuje trzyetapowy proces. Najpierw zespół profiluje obie wersje, korzystając ze szkodliwych i nieszkodliwych danych wejściowych. Następnie statystyczna metoda selekcji cech porządkuje warstwy, które najlepiej odróżniają te wersje. W trzecim kroku atak modyfikuje komponenty wokół wybranych warstw.

Ta sekwencja ma znaczenie, ponieważ przekształca interpretowalność w rozpoznanie. Metoda nie traktuje każdego parametru jako jednakowo istotnego. Poszukuje niewielkiego wewnętrznego obszaru, w którym dostrajanie bezpieczeństwa wydaje się najbardziej widoczne.

Eksperymenty objęły siedem modeli o otwartych wagach. Były to Llama 3.2 1B, Llama 3.1 8B, Qwen2.5 0.5B, Qwen2.5 3B, Gemma 2B, Gemma 7B oraz Mistral-7B-v0.3.

Każdy model miał odpowiadający mu nieograniczony wariant o tej samej ogólnej architekturze i konfiguracji parametrów. Takie parowanie dało badaczom kontrolowany sposób porównywania wewnętrznego zachowania.

W ocenie wykorzystano 100 szkodliwych zachowań z dziesięciu kategorii. Kategorie te obejmowały oszustwa, dezinformację, złośliwe oprogramowanie, naruszenia prywatności, nękanie, fizyczną krzywdę i niebezpieczne specjalistyczne porady. Badacze zestawili je ze 100 nieszkodliwymi zachowaniami dotyczącymi powiązanych tematów.

Taka konfiguracja pochodziła ze zbioru danych JailbreakBench, otwartego benchmarku do oceny promptów adwersarialnych i mechanizmów obronnych. Zespół początkowo wykluczył pytania, które już bez ataku generowały niebezpieczne odpowiedzi. Decyzja ta zapobiegła zawyżaniu raportowanych wyników ataku przez istniejące wcześniej błędy.

XBreaking zmienia zatem cel jailbreaku. Prompt pozostaje istotny, lecz nie jest już głównym obiektem optymalizacji. Celem staje się wewnętrzny sygnatura bezpieczeństwa modelu.

To rozróżnienie tworzy centralne napięcie artykułu. Mechanizm bezpieczeństwa, który pozostawia mierzalny wewnętrzny ślad, staje się łatwiejszy do badania. Staje się też łatwiejszy do zaatakowania, gdy przeciwnik kontroluje model.

Jak XBreaking znajduje warstwy krytyczne dla bezpieczeństwa

Badacze traktują różnice między modelami dopasowanymi i nieograniczonymi jako odcisk palca ujawniający, gdzie skoncentrowane jest zachowanie polegające na odmowie.

Metoda rozpoczyna się od przesyłania ustandaryzowanych pytań przez obie wersje modelu. Rejestruje średnie aktywacje i wyniki uwagi dla każdej warstwy. Wartości są normalizowane, aby badacze mogli porównywać sygnały o różnych zakresach liczbowych.

Proces selekcji cech następnie pyta, które pomiary na poziomie warstw najlepiej klasyfikują model jako dostrojony pod kątem bezpieczeństwa lub nieograniczony. Badacze wykorzystują test analizy wariancji, aby uszeregować te cechy. Wybierają najmniejszą grupę zapewniającą użyteczną dokładność klasyfikacji.

To jest „wyjaśnialna” część działania XBreaking. Zamiast twierdzić, że każdy ukryty sygnał ma intuicyjne znaczenie dla człowieka, metoda identyfikuje mierzalne różnice związane z dopasowaniem. Różnice te wskazują badaczom, gdzie należy badać model lub interweniować.

Artykuł raportuje ponad 90-procentową dokładność identyfikacji odcisku palca dla pięciu z siedmiu konfiguracji modeli. Podaje 100-procentową dokładność dla Gemma 7B i 82,5 procent dla Mistral-7B-v0.3. Są to wyniki klasyfikacji w ramach eksperymentalnej konfiguracji autorów, a nie uniwersalne miary bezpieczeństwa modeli.

Dodatkowy test wykorzystał rzadkie autoenkodery, które rozkładają aktywacje modelu na bardziej szczegółowe cechy wewnętrzne. W przypadku Llama 3.1 8B podejście to osiągnęło 100-procentową dokładność klasyfikacji. Prostsza metoda oparta na aktywacjach i uwadze osiągnęła 97,5 procent.

Autorzy zachowali prostszą metodę, ponieważ rzadkie autoenkodery wymagają większego nakładu obliczeniowego. Dla różnych warstw i architektur mogą być potrzebne oddzielne modele. Statystyki średnich aktywacji i uwagi można zbierać podczas zwykłego przetwarzania w przód.

W wielu konfiguracjach wybrane sygnały pojawiały się w ograniczonej grupie środkowych lub późniejszych warstw transformera. Artykuł interpretuje te obszary jako istotne elementy tłumienia treści. Jednak korelacja z zachowaniem polegającym na odmowie nie zapewnia pełnego wyjaśnienia przyczynowego.

Po zlokalizowaniu tych warstw XBreaking modyfikuje wagi skalujące w pobliskim komponencie normalizacji. Normalizacja warstwowa reguluje skalę i rozkład wewnętrznych sygnałów podczas ich przechodzenia przez transformer. Badacze dodają kontrolowany szum do tych wag i obserwują uzyskane odpowiedzi.

Atak testuje dodatnie i ujemne perturbacje o kilku wielkościach. Bardzo małe zmiany często dawały niewielki efekt. Większe zmiany mogły uszkodzić ogólne generowanie tekstu. Badacze poszukiwali więc zakresu, który osłabiał odmowy bez całkowitego uszkadzania modelu.

Mechanizm ten wyjaśnia, dlaczego atak różni się od zwykłego dostrajania. Dostrajanie może aktualizować szeroki zbiór wag na podstawie wielu przykładów. XBreaking wykorzystuje odcisk palca dopasowania, aby zawęzić interwencję.

Oryginalny preprint XBreaking ukazał się w kwietniu 2025 roku. Wersja czasopismowa z 2026 roku dodaje szerszą ocenę, pomiary użyteczności, eksperymenty transferowe i bardziej jednoznaczną dyskusję zakresu.

Metoda przypomina też audyt bezpieczeństwa prowadzony w odwrotnym kierunku. Obrońca może porównywać modele, aby zlokalizować kruche komponenty bezpieczeństwa. Atakujący z takim samym dostępem może wykorzystać powstałą mapę do ich osłabienia.

Wyjaśnialna AI staje się mapą ataku

Wpływ XBreaking na bezpieczeństwo wynika z kompromisu: widoczność wnętrza modelu usprawnia audyt, a zarazem zmniejsza niejasność otaczającą mechanizmy bezpieczeństwa.

Interpretowalność mechanistyczna bada obliczenia, które prowadzą do zachowania modelu. Może pomagać badaczom lokalizować cechy, obwody lub reprezentacje związane z odmową, oszustwem, uprzedzeniami i innymi zachowaniami.

Cel ten ma zwykle charakter defensywny. Inżynierowie chcą uzyskać więcej dowodów, niż może zapewnić ostateczna odpowiedź modelu. Wewnętrzne pomiary mogą ujawnić ukryte tryby awarii przed wdrożeniem lub pomóc zespołom sprawdzić, czy trening bezpieczeństwa uogólnił się prawidłowo.

Wyjaśnialność nie przypisuje jednak moralnego celu wiedzy, którą ujawnia. Mapa warstw krytycznych dla bezpieczeństwa może wspierać wzmacnianie zabezpieczeń, monitorowanie lub naprawę. Ta sama mapa może kierować selektywną manipulacją.

Szersza literatura dotycząca interpretowalności już traktuje interwencję przyczynową jako istotny test. Badacze zmieniają wewnętrzną cechę i badają wynik behawioralny. XBreaking stosuje tę logikę w sposób adwersarialny.

Badanie raportuje, że ukierunkowane perturbacje sprawiły, iż modele wcześniej odmawiające zaczęły generować niebezpieczne treści w kilku kategoriach szkód. Podejmowanie decyzji przez instytucje rządowe, złośliwe oprogramowanie, treści dla dorosłych, nękanie i specjalistyczne porady znalazły się wśród bardziej podatnych obszarów.

Badacze oceniali wczesne eksperymenty poprzez ręczny przegląd prowadzony przez wielu anotatorów. Uwzględniali jedynie odpowiedzi, w których anotatorzy byli jednomyślni co do klasyfikacji. W późniejszych eksperymentach użyli Llama Guard 3 do automatycznej oceny większej liczby odpowiedzi.

Ta zmiana poprawia skalowalność, lecz wprowadza kolejne źródło niepewności. Zautomatyzowany klasyfikator bezpieczeństwa może błędnie oznaczać treści o niuansowym charakterze. Jego oceny zależą również od kategorii i progów, które mogą różnić się od polityk organizacji wdrażającej model.

Autorzy zmierzyli również, czy zmodyfikowane modele zachowały zwykłe możliwości. Porównali wyniki w HellaSwag i TruthfulQA oraz zmierzyli zgodność odpowiedzi w MMLU. Raportowane wyniki pokazują, że kilka modeli zachowało znaczną część swojego pierwotnego zachowania.

Zachowanie możliwości było nierówne. Zgodnie z artykułem większość konfiguracji przekroczyła 60 procent podobieństwa cosinusowego w ocenach generatywnych. Niektóre przekroczyły 75 procent. Mistral-7B-v0.3 zachował ponad 92 procent zgodności w MMLU w raportowanych konfiguracjach.

Inne wyniki były znacznie słabsze. Gemma 7B wykazał podobieństwo cosinusowe między 45,3 a 51,9 procent w raportowanych testach. Jego zgodność w MMLU wynosiła od 29 do 48 procent. Qwen2.5 3B również odnotował względnie niską zgodność w niektórych ustawieniach.

Różnice te komplikują wszelkie twierdzenia, że warstwę bezpieczeństwa można usunąć w czysty sposób. XBreaking czasami zachowywał użyteczne zachowanie, ale nie konsekwentnie we wszystkich rodzinach modeli. Skuteczne obejście odmowy może nadal pozostawić zauważalnie zdegradowany model.

Głębszą lekcją nie jest to, że interpretowalność stała się szkodliwa. Badania nad bezpieczeństwem rutynowo publikują techniki ujawniające słabości. Lekcja polega na tym, że wyjaśnialność musi być rozwijana wraz z kontrolą dostępu, kontrolami integralności i wielowarstwowymi zabezpieczeniami.

Przejrzystość bez ochrony operacyjnej może odsłonić powierzchnię ataku. Tajność bez interpretowalności może ukrywać błędy przed obrońcami. Twórcy otwartych modeli muszą teraz zarządzać oboma rodzajami ryzyka.

Podmioty wdrażające modele o otwartych wagach stoją pod największą presją

XBreaking wywiera presję przede wszystkim na zespoły pobierające, modyfikujące, dostrajające lub redystrybuujące modele o otwartych wagach, a nie na użytkowników hostowanych komercyjnych chatbotów.

Atak wymaga dostępu typu white-box, czyli bezpośredniego wglądu w wewnętrzne parametry i obliczenia modelu. Użytkownik korzystający ze zwykłego interfejsu chatbota nie otrzymuje takiego dostępu. Sam dostęp do promptów jest niewystarczający dla opublikowanej metody.

Autorzy wyraźnie wykluczają GPT-4, Claude i Gemini ze swoich twierdzeń. Te komercyjne systemy udostępniają kontrolowane interfejsy zamiast możliwych do pobrania wag modeli. Ich dostawcy mogą też otaczać model bazowy oddzielnymi filtrami wejściowymi, klasyfikatorami wyników i mechanizmami monitorowania nadużyć.

To ograniczenie uniemożliwia bezpośrednie stwierdzenie, że XBreaking może wyłączyć zabezpieczenia każdej dużej usługi AI. Zastosowanie tej samej techniki do zdalnego interfejsu programowania aplikacji jest technicznie niewykonalne w ramach modelu zagrożeń opisanego w pracy.

Wdrożenia modeli z otwartymi wagami wyznaczają inną granicę bezpieczeństwa. Właściciel modelu, złośliwy pracownik, przejęty pipeline lub niezaufany dystrybutor mogą zmodyfikować wagi przed wdrożeniem. Organizacje mogą następnie otrzymać model, którego widoczna tożsamość nie odzwierciedla już jego zachowania w zakresie bezpieczeństwa.

Ryzyko to ma znaczenie dla prywatnych systemów AI działających w środowiskach ochrony zdrowia, administracji publicznej, finansów lub bezpieczeństwa. Lokalne wdrożenie może zwiększyć kontrolę nad wrażliwymi danymi. Może też przenieść odpowiedzialność za integralność modelu z centralnego dostawcy na klienta.

Zespoły często dostrajają otwarte modele do wyspecjalizowanych procesów pracy. Wcześniejsze badania wykazały, że niestandardowe dostrajanie może osłabiać zgodność z zasadami bezpieczeństwa, nawet jeśli deweloperzy nie zamierzają usuwać zabezpieczeń. XBreaking dodaje bardziej świadomą i ukierunkowaną ścieżkę.

Główny podział nie przebiega zatem między modelami otwartymi a zamkniętymi. Dotyczy przejrzystej inżynierii bezpieczeństwa oraz bezpieczeństwa, które pozostaje niezawodne po autoryzowanej personalizacji. Organizacje potrzebują tego pierwszego, nie zakładając, że gwarantuje ono drugie.

Pochodzenie modelu staje się szczególnie ważne. Zespoły powinny wiedzieć, skąd pochodzą wagi, które adaptery zastosowano i czy parametry wewnętrzne zmieniły się po zatwierdzeniu. Tradycyjny spis oprogramowania nie opisuje w pełni takich transformacji.

Weryfikacja integralności musi także obejmować końcowy artefakt modelu. Skróty kryptograficzne mogą ujawnić zmianę pliku, ale tylko wtedy, gdy zespoły utrzymują zaufany punkt odniesienia. Testy behawioralne mogą wykryć błędy, lecz wąski zestaw testowy może nie wychwycić ukierunkowanych modyfikacji.

Ciągła ewaluacja oferuje silniejsze podejście. Zespoły mogą ponownie uruchamiać testy specyficzne dla polityk po dostrajaniu, kwantyzacji, łączeniu lub konwersji formatu. Operacje te mogą zmieniać zachowanie modelu, nawet gdy deweloperzy nie próbują przeprowadzić ataku.

Dla organizacji inżynieryjnych staje się to również wyzwaniem dokumentacyjnym. Wyniki testów, wersje modeli, adaptery i decyzje zatwierdzające muszą pozostać ze sobą powiązane. Przeszukiwalna baza wiedzy inżynieryjnej może pomóc zespołom zachować te dowody między kolejnymi wydaniami.

Wielowarstwowe zabezpieczenia nadal są konieczne, ponieważ dostrojenie modelu pod kątem bezpieczeństwa to tylko jedna kontrola. Filtrowanie danych wejściowych, moderacja wyników, ograniczone uprawnienia narzędzi, rejestrowanie zdarzeń i weryfikacja przez człowieka mogą ograniczać skutki przejęcia modelu.

Jailbreak XBreaking LLM nie czyni tych mechanizmów przestarzałymi. Pokazuje, dlaczego organizacje nie powinny traktować zachowania modelu polegającego na odmowie jako trwałej właściwości jego wag.

Czego Dowody Nie Ustalają

Wyniki ujawniają rzeczywistą słabość w modelu white-box, ale nie potwierdzają istnienia uniwersalnego jailbreaku dla produkcyjnych systemów AI.

Pierwsze ograniczenie dotyczy zakresu modeli. Eksperymenty obejmują siedem konfiguracji z otwartymi wagami należących do czterech rodzin. To użyteczny test między modelami, ale nadal obejmuje niewielką część modeli dostępnych w 2026 roku.

Testowane modele miały również od 500 milionów do 8 miliardów parametrów. Praca bada transfer na większe modele z tej samej rodziny, lecz bezpośrednie dowody nadal koncentrują się na mniejszych konfiguracjach. Architektury na skalę frontierową mogą inaczej rozkładać zachowania związane z bezpieczeństwem.

Drugie ograniczenie dotyczy nieograniczonego modelu referencyjnego. XBreaking działa najlepiej, gdy atakujący dysponuje ściśle dopasowanym odpowiednikiem do porównania. Takie zestawienie ułatwia wyizolowanie różnicy wynikającej z dostrojenia.

Autorzy argumentują, że mniejszy model z tej samej rodziny lub nowo dostrojona, nieograniczona wersja może stanowić alternatywny punkt odniesienia. Ich eksperymenty transferowe wykazały mniejszą spójność niż w przypadku dopasowanych par. Ta utrata ma znaczenie przy ocenie praktycznej niezawodności.

Trzecie ograniczenie to rozróżnienie między dostrojeniem modelu a filtrami wdrożeniowymi. XBreaking modyfikuje wewnętrzne zachowanie związane z odmową. System produkcyjny może nadal blokować żądanie lub odpowiedź za pomocą odrębnych klasyfikatorów.

Badanie z 2025 roku dotyczące szerszego pipeline bezpieczeństwa wykazało, że skuteczność jailbreaków może spadać po uwzględnieniu filtrów wejściowych i wyjściowych. Badanie to stwierdziło, że wiele ataków na poziomie modelu można było wykryć przez co najmniej jeden testowany filtr.

Nie unieważnia to XBreaking. Zmienia jednostkę podlegającą ocenie. Przełamanie modelu bazowego jest poważne, zwłaszcza gdy deweloperzy polegają na jego zachowaniu polegającym na odmowie. Nie oznacza to automatycznie, że szkodliwe treści dotrą do użytkownika końcowego.

Czwarte ograniczenie dotyczy zachowania użyteczności. Atak ma usuwać ograniczenia przy jednoczesnym zachowaniu zwykłego generowania. Własne wyniki benchmarków pracy wskazują na znaczące pogorszenie dla niektórych modeli.

Tworzy to obserwowalny sygnał, który mogą wykorzystać obrońcy. Przejęty model może zmieniać odpowiedzi w nieszkodliwych testach, ocenach rozumowania lub zestawach regresyjnych. Najsilniejsze ataki minimalizowałyby te różnice, ale badanie nie wykazuje doskonałego ukrycia.

Piąte ograniczenie dotyczy interpretacji przyczynowej. Wysoka dokładność klasyfikacji pokazuje, że wybrane cechy wewnętrzne odróżniają warianty modeli. Nie wyjaśnia jednak w pełni, jak model reprezentuje pojęcia bezpieczeństwa ani dlaczego dochodzi do każdej odmowy.

Średnie statystyki warstw mogą ukrywać bardziej specyficzne obwody, efekty tokenów i interakcje. Wynik dotyczący rzadkiego autoenkodera sugeruje, że bogatsze reprezentacje mogłyby wyostrzyć analizę. Podkreśla też, jak wiele pozostaje nieznane.

Wreszcie oceny szkodliwości w badaniu zależą od ludzi i automatycznych klasyfikatorów. Ewaluacja bezpieczeństwa nie jest czysto mechaniczną prawdą obiektywną. Granice polityk różnią się między dostawcami, krajami, branżami i kontekstami wdrożenia.

Właściwy wniosek powinien być zatem wyważony. XBreaking dostarcza dowodów, że dostrajanie bezpieczeństwa może pozostawiać wykrywalne i możliwe do manipulacji wzorce wewnętrzne. Nie pokazuje, że każde zabezpieczenie jest skupione w jednym usuwalnym przełączniku.

Trzy Sygnały Pokażą, Czy Obrona Nadrabia Zaległości

Kolejną fazę określą niezależna replikacja, mechanizmy obrony integralności oraz testy obejmujące kompletne pipeline’y wdrożeniowe.

Pierwszym sygnałem będzie replikacja na większych modelach z otwartymi wagami. Badacze muszą sprawdzić, czy ta sama metoda wyboru warstw działa w nowszych architekturach i przy znacznie większej liczbie parametrów. Muszą również zmierzyć wymagane zasoby obliczeniowe.

Udana replikacja wzmocniłaby tezę, że odciski dostrojenia pod kątem bezpieczeństwa podążają za rodzinami architektonicznymi. Niepowodzenie sugerowałoby, że opublikowany efekt silniej zależy od konkretnych modeli, zestawień lub wyborów ewaluacyjnych.

Najbardziej wartościowe badania opublikują zarówno wyniki ataku, jak i wyniki użyteczności. Wysoki wskaźnik ataku znaczy mniej, jeśli zwykła wydajność modelu gwałtownie spada. Obrońcy potrzebują także pomiarów pokazujących, czy zmodyfikowane modele potrafią ominąć rutynowe testy regresyjne.

Drugim sygnałem będzie pojawienie się mechanizmów obronnych monitorujących wnętrze modeli lub weryfikujących zatwierdzone wagi. Deweloperzy mogą testować wzorce aktywacji, chronić artefakty modeli i porównywać komponenty wrażliwe na bezpieczeństwo po personalizacji.

Użyteczny mechanizm obronny musi przetrwać typowe zmiany wdrożeniowe. Kwantyzacja, łączenie adapterów, przycinanie i konwersja formatów mogą zmieniać wartości numeryczne. Systemy integralności muszą odróżniać oczekiwane transformacje od złośliwej ingerencji.

Interpretowalność może stać się częścią tej obrony. Te same odciski używane do wyboru celów ataku mogłyby identyfikować nietypowe zachowanie wewnętrzne. Badacze powinni sprawdzić, czy monitorowanie aktywacji wykrywa perturbacje bez nakładania niedopuszczalnych opóźnień.

Trzecim sygnałem będzie ocena względem pełnego stosu aplikacyjnego. Przyszłe badania powinny łączyć zmodyfikowane modele z filtrami wejściowymi, klasyfikatorami wyników, ograniczeniami narzędzi i zasadami eskalacji do człowieka. Pokazałoby to, czy XBreaking tworzy słabość na poziomie modelu, czy awarię end-to-end.

System wielowarstwowy nadal może zawieść, jeśli każdy komponent opiera się na podobnych założeniach. Filtr wyjściowy może przeoczyć szkodliwe treści używające pośredniego języka. Ograniczenie narzędzi może zatrzymać wykonanie, jednocześnie ujawniając niebezpieczne instrukcje.

Niezależne zespoły red team powinny zatem testować konsekwencje, a nie tylko odmowy. Powinny pytać, czy zmodyfikowany model może uzyskać dostęp do danych, wywołać oprogramowanie lub wpłynąć na istotną decyzję. Te wyniki mają większe znaczenie niż pojedyncza klasyfikacja niebezpiecznego tekstu.

Deweloperzy i nabywcy korporacyjni powinni także obserwować dokumentację modeli. Raporty dotyczące bezpieczeństwa powinny wskazywać, czy ewaluacje przeprowadzono przed czy po dostrajaniu, kwantyzacji i pakowaniu do wdrożenia. Wyniki niezmodyfikowanego modelu bazowego nie mogą opisywać każdego spersonalizowanego wariantu pochodnego.

Jailbreak XBreaking LLM sprawia, że bezpieczeństwo modelu wygląda mniej jak trwała cecha, a bardziej jak utrzymywana właściwość bezpieczeństwa. Ta zmiana powinna wpłynąć na zakupy, wdrożenia i bieżące testowanie.

Zespoły korzystające z otwartych modeli powinny już teraz zinwentaryzować obecne zabezpieczenia. Które mechanizmy działają wewnątrz modelu, a które niezależnie wokół niego? Czy organizacja potrafi wykryć zmieniony model, zanim trafi on do produkcji?

Te pytania stanowią praktyczny punkt wyjścia. Wyjaśnialność będzie nadal ujawniać, jak modele podejmują decyzje. Najwięcej skorzystają organizacje, które będą również chronić to, co te wyjaśnienia ujawniają.