¿Qué es un ataque de jailbreak a una IA?
Un exploit malicioso diseñado para eludir las medidas de seguridad integradas de un sistema de IA con el fin de hacer que el sistema realice acciones o genere contenido que no produciría en circunstancias normales
Un ataque de jailbreak es una técnica maliciosa diseñada para eludir las medidas de seguridad integradas de un sistema de IA. Su objetivo es hacer que el sistema genere resultados inexactos o perjudiciales, o que realice acciones no autorizadas. El jailbreak es una forma de inyección de instrucciones diseñada específicamente para eludir los controles de seguridad de un modelo, mientras que la inyección de instrucciones, en un sentido más amplio, manipula el comportamiento del modelo mediante instrucciones maliciosas o no fiables.
Técnicas y vectores habituales de jailbreak
Los atacantes utilizan diversas técnicas y vectores para realizar jailbreaks. Estos son los métodos más habituales:
Juegos de rol y manipulación de la personalidad: Mediante una instrucción dirigida a un modelo de IA, los atacantes le indican que adopte una personalidad que ignore las medidas de seguridad integradas. Por ejemplo, han indicado a modelos que adopten la personalidad «DAN» («do anything now», es decir, «haz cualquier cosa ahora»), que podría generar respuestas sin censura a las instrucciones. Del mismo modo, se ha utilizado la personalidad «AIM» («always intelligent and Machiavellian», es decir, «siempre inteligente y maquiavélico») para proporcionar respuestas amorales que traspasan los límites éticos.
Ofuscación y codificación: Esta técnica de jailbreak intenta transformar una carga maliciosa en un formato que eluda cualquier filtro o clasificador de seguridad basado en texto. Los atacantes han utilizado código Base64 en lugar de lenguaje natural, cifrados (que emplean algoritmos para desplazar o sustituir el contenido normal), caracteres invisibles y caracteres de otros alfabetos. Los modelos pueden descodificar y leer estas modificaciones, pero sus filtros de seguridad no.
Forzado de respuestas afirmativas: También denominada inyección de prefijos o compleción forzada, esta técnica obliga a un modelo a comenzar cada respuesta con una afirmación, como «¡Claro, puedo ayudarte con eso!». Una vez que el modelo genera esa respuesta, su enfoque probabilístico aumenta la probabilidad de que atienda las solicitudes posteriores, incluso aquellas que normalmente rechazaría.
Saturación de contexto: En esta técnica, que a veces se denomina relleno de contexto o saturación de la atención, los atacantes incluyen una gran cantidad de texto inocuo o datos aleatorios en su prompt. Una gran cantidad de contexto adicional puede diluir la influencia de las instrucciones anteriores o interferir con ella, lo que puede dificultar que un modelo cumpla sistemáticamente sus restricciones de seguridad.
La evolución de la amenaza
Al principio, los principales objetivos del «jailbreaking» de IA eran los grandes modelos de lenguaje (LLM), y sus efectos perjudiciales se limitaban en gran medida a respuestas de texto inapropiadas. Sin embargo, a medida que las organizaciones han ido adoptando agentes de IA para realizar diversas tareas de forma autónoma, los atacantes han pasado a centrar sus ataques en dichos agentes.
El jailbreak de agentes de IA puede tener graves consecuencias para las empresas. Por ejemplo, los agentes a los que se les hayan eliminado las restricciones y que tengan acceso a API podrían extraer datos confidenciales, eliminar archivos de bases de datos, ejecutar transacciones financieras fraudulentas, enviar mensajes de phishing desde cuentas corporativas o provocar fallos en sistemas críticos.
Los atacantes también utilizan la IA para detectar vulnerabilidades en los agentes que aumenten sus probabilidades de éxito al aplicar técnicas de jailbreak. Por ejemplo, emplean grandes modelos de razonamiento (LRM) para descubrir vulnerabilidades. Después, pueden desplegar agentes automatizados de red teaming basados en esos LRM para evaluar continuamente las vulnerabilidades de los agentes.
Por qué la seguridad tradicional se queda corta
Las soluciones de seguridad tradicionales, como los cortafuegos de aplicaciones web (WAF), no bastan para evitar los jailbreaks de IA por dos motivos principales. En primer lugar, los WAF examinan datos estructurados y código en busca de patrones de amenazas conocidos. Sin embargo, en los jailbreaks, los atacantes utilizan instrucciones en lenguaje natural para obligar a los modelos y agentes a ejecutar acciones. Los WAF no pueden interpretar el significado de ese lenguaje natural. Además, los WAF inspeccionan principalmente el tráfico HTTP de las aplicaciones y no tienen visibilidad sobre todas las fuentes de contenido que puede procesar un sistema de IA.
Cómo proteger las aplicaciones y los agentes de IA
Proteger las aplicaciones y los agentes de IA frente al jailbreaking requiere una estrategia de múltiples capas. Cuatro prácticas esenciales pueden ayudar a desarrollar dicha estrategia:
1. Implemente medidas de protección dobles (de entrada y salida): Las medidas de protección de entrada pueden analizar las instrucciones para detectar técnicas de ofuscación y codificación, así como filtrar los intentos de asignar roles. Por su parte, las medidas de protección de salida pueden evaluar el contenido generado antes de que llegue al usuario y de que el modelo ejecute llamadas a una API. Esta evaluación puede detectar discursos de odio, filtraciones de datos y llamadas no autorizadas a herramientas.
2. Implemente modelos centinela o de moderación: En lugar de exigir que un modelo evalúe su propia seguridad, las organizaciones pueden implementar modelos «centinela» o de moderación ligeros diseñados para tareas de clasificación. Al examinar tanto las entradas como las salidas, estos modelos pueden identificar intentos de secuestro en los prompts y determinar si el contenido generado infringe las políticas corporativas (como las relativas a la incitación al odio o el acoso).
3. Garantizar la fidelidad al prompt del sistema: La fidelidad al prompt del sistema es el grado en que los prompts se ajustan a las instrucciones del sistema sin desviarse ni quedar anulados por otras instrucciones. Las organizaciones pueden garantizar la fidelidad al prompt del sistema mediante diversas técnicas, como repetir las instrucciones esenciales del sistema durante las conversaciones con los usuarios (lo que contrarresta la saturación del contexto) y ajustar la jerarquía de instrucciones para asegurarse de que el modelo rechace las órdenes de los usuarios que le pidan ignorar las instrucciones del sistema.
4. Aplicar el acceso a las API con privilegios mínimos para los agentes: Los agentes de IA a los que se les han eliminado las restricciones pueden causar daños importantes a las empresas, especialmente cuando están conectados a sistemas críticos. Las organizaciones pueden limitar los posibles daños derivados de la eliminación de las restricciones de los agentes aplicando un acceso a las API con privilegios mínimos. Los agentes solo deben poder acceder a las API necesarias para completar sus tareas.
Preguntas frecuentes
¿Por qué los modelos de IA se niegan a responder preguntas inocuas (generando «falsos positivos»)?
A veces, los modelos de IA se niegan a responder preguntas inocuas de los usuarios. Estas negativas se denominan «falsos positivos» o «rechazo excesivo». La instrucción puede contener palabras clave que indiquen peligro en otros contextos o estar formulada de una manera que sugiera un intento de eludir las restricciones (por ejemplo, pidiendo al modelo que adopte un personaje). También puede ocurrir que el modelo calcule que su respuesta probablemente daría lugar a una solicitud perjudicial, lo que sería peor que negarse a responder.
¿Cómo logra la interpretación de personajes burlar las medidas de seguridad?
La interpretación de personajes engaña a las medidas de seguridad al ocultar intenciones maliciosas bajo un contexto aparentemente inofensivo. Si estas medidas consideran que la instrucción es solo un ejercicio creativo, no la clasificarán como perjudicial. Mientras tanto, el modelo empleará sus recursos en obedecer la orden de asumir un papel y prestará menos atención al cumplimiento de las normas de seguridad.
¿Cuál es la diferencia entre un prompt «DAN» y un jailbreak universal?
El tristemente célebre prompt «DAN» hace referencia a la técnica de juego de rol que consiste en pedir a un modelo que adopte una personalidad que ignore las normas de seguridad («haz cualquier cosa ahora») y se limite a seguir las instrucciones proporcionadas por el usuario. Un ataque de jailbreak universal utiliza un algoritmo informático para crear una cadena de caracteres que, al añadirse a cualquier prompt, anula las normas de seguridad del modelo.
¿Cuáles son los riesgos legales y las responsabilidades derivados de vulnerar las restricciones de los sistemas de IA?
El jailbreak de sistemas de IA puede generar múltiples riesgos y responsabilidades para las organizaciones que los gestionan. Por ejemplo, podría dar lugar a la exposición de datos confidenciales de clientes, la difusión de información falsa, incumplimientos normativos o diversas acciones ilícitas llevadas a cabo por agentes autónomos. Las organizaciones podrían enfrentarse a multas de los organismos reguladores, demandas e incluso acciones penales.
¿Pueden los ajustes de seguridad de la API impedir por completo los intentos de jailbreak?
No, la configuración de seguridad de las API no puede impedir por completo los intentos de jailbreak. Los atacantes pueden eludir los filtros de las API mediante la codificación Base64 u otras técnicas de ofuscación similares. Además, los filtros de las API a menudo no detectan instrucciones camufladas como texto corriente. Asimismo, los intentos de jailbreak indirectos ocultos en contenido de terceros pueden ser especialmente difíciles de detectar y requieren controles adicionales sobre el contenido externo o recuperado.
¿Cómo se protegen los sistemas y las aplicaciones de IA durante la inferencia y en tiempo de ejecución?
Proteger los sistemas de IA durante la inferencia y en tiempo de ejecución requiere controles que inspeccionen las instrucciones, las respuestas, las acciones de los agentes y el uso de herramientas a medida que se producen las interacciones. La seguridad en tiempo de ejecución específica para la IA puede ayudar a bloquear la inyección de instrucciones, evitar la filtración de datos confidenciales, aplicar políticas y controlar cómo interactúan los modelos y los agentes con los usuarios, los datos, las API y las herramientas conectadas.
¿Qué capacidades de F5 respaldan la seguridad de la IA empresarial?
F5 AI Guardrails ayuda a aplicar políticas en tiempo de ejecución y a proteger frente a riesgos como la inyección de prompts, la filtración de datos, los resultados dañinos y las acciones no seguras de los agentes. F5 AI Red Team utiliza pruebas adversariales para identificar vulnerabilidades y puntos débiles antes de que los atacantes los descubran. F5 AI Gateway proporciona un punto de control centralizado para gestionar el acceso a modelos, agentes y herramientas, mientras que F5 Workforce AI Security ofrece visibilidad sobre el uso autorizado y no autorizado de la IA en toda la empresa. En conjunto, estas capacidades forman parte de F5 AI Security Platform. Para ofrecer una protección más amplia en aplicaciones, API y entornos distribuidos, F5 Application Delivery and Security Platform (ADSP) también reúne capacidades como la protección de aplicaciones web y API, la gestión de bots, la mitigación de ataques DDoS y la entrega de aplicaciones.
