Jailbreak

Qu’est-ce qu’un jailbreak ?

Le terme vient du monde des smartphones : « jailbreaker » un iPhone, c’était lever les restrictions du fabricant. En IA, l’idée est voisine : obtenir d’un modèle ce que ses règles lui interdisent.

Les modèles de langage sont entraînés à refuser certaines demandes, comme fournir des instructions dangereuses ou produire du contenu nuisible. Par-dessus, l’entreprise qui les utilise ajoute ses propres règles dans le system prompt : ne pas parler de la concurrence, ne pas donner de prix sur mesure, rester dans le sujet. Un jailbreak cherche à franchir l’une ou l’autre de ces couches.

Ce n’est pas la même chose que l’injection de prompt. Le jailbreak s’attaque aux règles du modèle ; l’injection cherche à faire obéir une application à des ordres étrangers, souvent cachés dans un document. En pratique, beaucoup d’attaques mélangent les deux.

Comment ça marche

Pas de recette ici, mais le principe est connu. Les tentatives déguisent la demande interdite pour que le modèle ne la reconnaisse pas, ou exercent une pression pour qu’il fasse passer « rendre service » avant ses règles. Elles marchent parce que le modèle ne comprend pas les règles comme une personne : il apprend des schémas, et il reste toujours des combinaisons que l’entraînement n’a pas couvertes.

Les éditeurs ferment les méthodes connues à chaque version, mais d’autres apparaissent. La défense ne peut donc pas reposer sur le seul modèle :

1. Ne pas faire des consignes l’unique barrière. Ce qui ne doit jamais arriver se bloque par les droits d’accès et le code.
2. Moindre privilège. Si l’assistant ne peut ni consulter les données d’autres clients ni rembourser, le piéger ne sert pas à grand-chose.
3. Relecture humaine de ce qui est sensible.
4. Filtrer ce qui sort avant l’envoi.
5. Tester votre propre système avec des tentatives de piège avant de l’ouvrir au public.

Tout cela fait partie des guardrails.

Exemple

Une concession automobile de Toulouse installe un assistant sur son site pour prendre les rendez-vous d’atelier. Quelqu’un tente de le convaincre, message après message, de confirmer par écrit une remise de 50 % sur une voiture. Il obtient une phrase étrange, rien de plus : l’assistant n’a accès à aucun prix et ne peut émettre aucune offre. Son seul pouvoir est de réserver un créneau à l’atelier et de passer la conversation à un commercial.

La faille existe, mais les dégâts sont minimes. C’est ce qu’on appelle un système bien conçu.

Ce que cela change pour votre entreprise

Si vous mettez un agent IA face au public, quelqu’un essaiera de le faire sortir de son rôle. Plutôt que de chercher un modèle impossible à piéger, mieux vaut limiter ce que l’agent peut faire.

Chez UTIO, l’autonomie de l’agent est graduelle et démarre en mode brouillon. Vous décidez quelles tâches il accomplit seul et quand il passe la conversation à une personne : selon l’horaire, le sujet, ou quand le client le demande.