Jailbreak

¿Qué es un jailbreak?

El término viene de los móviles: «hacer jailbreak» a un iPhone era quitarle las restricciones del fabricante. En IA significa algo parecido: conseguir que un modelo haga lo que sus normas no le dejan hacer.

Los modelos de lenguaje vienen entrenados para rechazar ciertas peticiones, como dar instrucciones peligrosas o generar contenido dañino. Encima, la empresa que los usa añade sus propias reglas en el system prompt: no hablar de la competencia, no dar precios a medida, no salirse del tema. Un jailbreak intenta saltarse cualquiera de esas capas.

No es lo mismo que la prompt injection. El jailbreak ataca las normas del modelo; la inyección intenta que una aplicación obedezca órdenes ajenas, a menudo escondidas en un documento. En la práctica, muchos ataques mezclan las dos cosas.

Cómo funciona

No vamos a dar recetas, pero la idea general es conocida. Los intentos suelen disfrazar la petición prohibida para que el modelo no la reconozca como tal, o le meten presión para que priorice «ayudar» sobre sus reglas. Funcionan porque el modelo no entiende las normas como una persona: aprende patrones, y siempre hay combinaciones que el entrenamiento no cubrió.

Los fabricantes cierran los métodos conocidos con cada versión, pero aparecen otros. Por eso la defensa no puede depender solo del modelo:

1. No confiar en las instrucciones como única barrera. Lo que no debe pasar nunca se bloquea con permisos y código.
2. Mínimo privilegio. Si el asistente no puede consultar datos de otros clientes ni hacer reembolsos, engañarlo sirve de poco.
3. Revisión humana en lo delicado.
4. Filtrar lo que sale antes de enviarlo.
5. Probar tu propio sistema con intentos de engaño antes de abrirlo al público.

Todo esto forma parte de los guardrails.

Ejemplo

Un concesionario de Valencia pone un asistente en su web para dar cita en el taller. Alguien intenta convencerlo, con varios mensajes, de que confirme por escrito una rebaja del 50 % en un coche. Consigue que el asistente escriba una frase rara, pero nada más: el asistente no tiene acceso a precios ni puede emitir ofertas. Su único poder es reservar citas en el taller y pasar la conversación a un comercial.

El fallo existe, pero el daño es mínimo. Eso es un sistema bien diseñado.

Cómo te afecta en tu empresa

Si pones un agente de IA de cara al público, alguien intentará sacarlo de su papel. Más que buscar un modelo imposible de engañar, conviene limitar lo que el agente puede hacer.

En UTIO la autonomía del agente es gradual y arranca en modo borrador. Tú decides qué tareas hace solo y cuándo pasa la conversación a una persona: por horario, por tema o cuando el cliente lo pide.