XiliuxLas técnicas de jailbreak que circulan en los titulares —el "ignora tus instrucciones", el juego de roles, la codificación en base64— ya casi no funcionan contra un modelo serio. Y no es casualidad: quien defiende un modelo lo entrena con el corpus público de ataques. Toda técnica famosa está, por definición, quemada.
Eso deja una conclusión incómoda y útil: contra una defensa de élite, lo único que paga es la novedad. Pero no la creatividad en el vacío —esa también se estrella—, sino una forma muy concreta de novedad: la que se deriva del propio objetivo.
El modelo se rompe con su propia naturaleza, no con fuerza de fuera
El hilo que une a los ataques que sí funcionan es que todos convierten en arma algo del propio sistema atacado. Lo trabajamos como cinco filos:
- Su naturaleza. El objetivo tiene un sesgo o un rol. Un modelo entrenado para "ayudar siempre" cede si le pides lo contrario de lo que esperas que niegue.
- Sus palabras. La regla que confiesa al negarse es una regla que puedes invocarle al pie de la letra. Si dice "solo haría X si fuera absolutamente necesario", acabas de recibir la condición que la abre.
- Su entorno. El canal de confianza (la instrucción de sistema, un documento que el agente lee como contexto) pesa más que lo que diga un usuario.
- Su juez. Esto es lo que casi nadie mide: un sistema automático casi nunca evalúa tu prosa. Evalúa un parámetro concreto —el argumento de una llamada a herramienta, una expresión regular, un criterio—. Apuntar a la prosa mientras el juez mira otro campo es pulir un argumento que nadie lee. La disciplina es leer qué mide el juez antes de optimizar.
- Su resistencia. Cada negativa es información. El bucle no es insistir: es derivar de cada "no" una hipótesis más fina.
Los muros que parecen inexpugnables caen a una palanca de otra clase
Hay defensas que resisten cualquier ángulo de la clase esperada —el guardián que "ni confirma ni niega" un secreto, por ejemplo—. La lección medida es que no caen a más fuerza de la misma clase; caen a una palanca de clase distinta. Tres que aislamos, descritas a nivel de concepto:
- Disolución del marco: en vez de pelear la restricción, se la hace irrelevante mediante un reencuadre que el propio modelo acepta.
- Desacople entre señal y efecto: lograr que el juez case el objetivo sin que se produzca el efecto dañino que protegía.
- Trampa de confirmación: un guardián que se niega a responder preguntas sobre un dato puede, sin embargo, corregir una afirmación mixta —y al corregir la mitad falsa, confirma la verdadera—. "Ni confirmar ni negar" protege contra preguntas, no contra la corrección.
La parte honesta, que es la que da valor
Esto se midió en una arena pública de red-team (el drill "The Labyrinth" de Gray Swan): 3 de 4 escenarios resueltos contra su modelo defendido. Y hay que decir lo que esa cifra no es: la arena es un entorno de entrenamiento con modelos más blandos que los de producción, y el canal fue el diálogo directo. Lo que transfiere a un objetivo real no son los textos de ataque —esos mueren con el modelo concreto— sino la capacidad: el bucle, los cinco filos, y la disciplina de medir lo que mide el juez.
Esa honestidad no es un descargo; es el método. Un resultado de seguridad que no distingue lo que probó de lo que no probó es marketing, no medición.
Para qué sirve esto en defensa
El mismo razonamiento que encuentra el hueco es el que lo cierra. Un sistema con agentes de IA —que leen documentos, llaman herramientas y actúan— tiene una superficie de ataque nueva, y la forma de auditarla no es un catálogo de firmas conocidas, sino este tipo de razonamiento adversario, un objetivo a la vez. Es el motor de nuestro trabajo de seguridad de agentes.
Alcance: todo esto ocurre en arenas y programas con autorización explícita. El propósito es encontrar y reportar para que se corrija, nunca dañar.