Kurz-Fakten
- Zielt auf die Ausrichtung des Modells, nicht auf die Anwendung – anders als Prompt Injection
- Übliche Muster: Rollenspiel, hypothetische Rahmung, schrittweise Annäherung, verfremdete Schreibweisen, fremde Sprachen
- Nachgeschaltete Prüfungen senken die Trefferquote, schließen sie aber nicht aus
- Bei offenen Gewichten lassen sich Schutzmechanismen auch durch Nachtraining entfernen – das ist eine Eigenschaft offener Modelle, keine Schwäche eines einzelnen
- Für Betreiber ist die maßgebliche Frage nicht, ob ein Ausbruch gelingt, sondern was die Anwendung danach tun kann
Bedeutung in der Praxis
Die Aufregung um einzelne Jailbreaks geht meist an der betrieblichen Frage vorbei. Ein Modell, das eine unerwünschte Textantwort erzeugt, ist ein Problem für die Reputation. Ein Modell, das über einen Ausbruch eine Funktion auslösen kann – eine Mail versenden, einen Datensatz ändern, eine Zahlung anstoßen –, ist ein Problem für den Betrieb. Der Unterschied liegt nicht im Modell, sondern in den Rechten der Anwendung.
Daraus folgt die brauchbare Reihenfolge: erst die Rechte eng setzen, dann die Aufrufe absichern, dann filtern. Ein Modell auf eigener Hardware ändert daran nichts – der Schutz liegt in der Anwendung davor und dahinter, nicht in der Datei mit den Gewichten.