ジェイルブレイク
この記事は約7分で読めます
ざっくり言うと
ジェイルブレイク（Jailbreak）とは、AIに組み込まれた安全上の線引きをすり抜けて、本来は断られる内容を無理やり出させようとする試みです。
しかけるのは、外部の誰かではありません。使っている本人です。うまくいってしまったときは、AIやその仕組みの弱いところを突かれた状態にあたります。
仕事でAIを使っていると、たまに断られます。危ないことや違法なことに関わる頼みごとには、答えを返さない作りになっているためです。
その断りを、言い方を変えて力ずくで突破しようとする。これがジェイルブレイクです。
AIに何でも答えさせる裏ワザ、という紹介のされ方を見かけることもあります。ただ、多くのサービスは安全策の回避を制限しています。
たとえばOpenAIの現行ポリシーでは、安全策（safeguards）の回避が禁止事項です。違反したときには、アクセス停止などの措置があり得ると説明しています。
許可を受けた安全性の検証は別として、ふだん使うサービスで試してよいものではありません。
イメージ
正確には
OWASP（Webのセキュリティ標準づくりを進める団体）は、大規模言語モデルを使うアプリのリスクを「Top 10 for LLM Applications」として整理しています。
そのなかでジェイルブレイクは、プロンプトインジェクションの一種として位置づけられています。具体的には「モデルの安全策（safety guardrails）を回避することを目的とした、利用者による直接的なプロンプトインジェクション」という整理です。
名前が似ている2つの言葉は、次のように分けて覚えてください。
- ジェイルブレイク
使っている本人が、AIの安全上の線引きをすり抜けようとする - プロンプトインジェクション
指示によってAIの動きを意図しない形に変える攻撃の総称。本人が直接入力する型と、Webページなどに仕込む間接型がある
NIST（米国国立標準技術研究所）が公開している「Adversarial Machine Learning（AI 100-2 E2025）」も、生成AIへの攻撃手法を分類しています。そのひとつとして、安全制御の回避をねらう攻撃のカテゴリが整理されています。
研究機関のレベルでも、対策すべき攻撃手法として認識されているわけです。
代表的な手法は、発想だけつかめば十分です
具体的な手口はここでは扱いません。研究や各社のレッドチーミング報告で語られる、発想のカテゴリだけを並べます。レッドチーミングとは、攻撃する側の役に回って弱点を探す取り組みのことです。
| カテゴリ | どんな発想か |
|---|---|
| 役割なりすまし | AIに別の人格を演じさせ、その人格としてなら答えてよいと錯覚させる |
| 仮想シナリオ装い | これは小説の中の話だ、という具合に、現実と切り離された設定だと装う |
| 多段階誘導 | 一度に踏み込まず、害のない質問を積み重ねて少しずつ核心へ近づく |
| 言い換え・エンコード | 直接書かず、別の表現や符号に置き換えてフィルタを通そうとする |
発想の紹介だけにとどめているのは、実際のプロンプト例を載せると、教科書としての立ち位置から外れてしまうためです。この教科書は、攻撃手法を身につける場ではありません。危ない概念があると知っておくための場です。
よくある勘違いは、ジェイルブレイクができる人はAIに詳しいすごい人だ、という見方です。実際には、規約違反や他の人への危害につながり得る行為にあたります。技術として面白いかどうかと、実際に使ってよいかどうかは、まったく別の話です。
なぜAIには断るルールがあるのか
AIを提供する会社が安全制御を入れているのは、生成AIが、人による悪用の余地をかなり広げてしまうからです。広がる理由は、規模・速度・もっともらしさの3点にあります。
Anthropicなどのレッドチーミング解説も、「AIの能力が上がるほど、誤用された場合の被害も大きくなる」という前提に立っています。そのうえで、安全対策はモデル開発と同時並行で必須だと位置づけています。
OpenAIのUsage policiesには、危害につながる用途などに加えて、安全策を回避する行為も禁止事項のひとつです。
ただし、研究者向けに許可された安全性検証の条件は、サービスごとに違います。契約しているサービスの公式サイトを開いて、利用規約や利用ポリシーのページで現行の内容と許可の範囲を確かめてください。OpenAIであれば、Usage policiesがそれにあたります。
なぜ対策が終わらないのか
ジェイルブレイクは、一度直せば終わり、という種類の問題ではありません。新しい手法が見つかる、各社が対策する、また別の手法が見つかる。このくり返しが続いています。
対策は、主に次の層を組み合わせて行われます。
- モデル自体の学習
有害な出力を拒否するように、訓練の段階で安全な受け答えを学ばせる - 入出力フィルタ
入力した文と出てきた答えを別の仕組みで監視し、危ない内容を遮断する - 継続的なレッドチーミング
社内外の専門チームが攻撃する側に回って試し、見つかった弱点を順に直す
Anthropicの解説は、レッドチーミングそのものに業界共通の標準がまだ確立していないことを課題に挙げています。AIの能力が進むのと並行して、攻撃の側も変わり続ける点も指摘しています。
正直なところ、絶対に破られない対策は今のところありません。そう思って付き合うのが現実的です。
注意点
関連用語
- ガードレール — 安全のために、AIへあらかじめ組み込まれている制御そのものです
- プロンプトインジェクション — 指示によってAIの動きを意図しない形に変える攻撃の総称です。ジェイルブレイクはその一種として扱われます
- AIセーフティ — 安全に使うための研究や取り組み全体を、まとめて呼ぶ言葉です
やってみよう
よくある質問
- Q. ジェイルブレイクとは何ですか?
- A. AIに組み込まれた安全上の線引きをすり抜けて、本来は断られる内容を無理やり出させようとする試みです。しかけるのは外部の誰かではなく、そのAIを使っている本人です。
- Q. ジェイルブレイクとプロンプトインジェクションは何が違いますか?
- A. プロンプトインジェクションは、指示によってAIの動きを意図しない形に変える攻撃の総称です。ジェイルブレイクはそのうち、使っている本人が安全策を回避しようとする型として整理されています。
- Q. 自分のアカウントで試してみるだけなら問題ありませんか?
- A. 避けてください。安全策の回避を禁止しているサービスでは、アクセス停止などの措置を受ける可能性があります。すり抜けて得た答えに、事実性や正確性の特別な保証があるわけでもありません。
- Q. AIに頼みごとを断られたときは、どうすればいいですか?
- A. 頼み方をこねくり回さず、断られた理由のほうを読んで、そもそもの目的を見直すほうが早く進みます。事業で使うなら、断りを言い換えで突破する運用は認めないと決めておいてください。
公開: 更新: ✓ 公式情報と照合:
参考ソース
判断クイズ
AIに断られたとき、次にやることを選べますか？
3問です。答えるとその場で解説が出ます。全問終えたら、「回答を記録する」で学習の記録に残せます。
全問に答えると、回答を記録できます。
残るのは「答えたかどうか」だけで、正解数は保存されません。この端末の中だけに残り、別の端末には引き継がれません。
この教科書は無料で全文公開しています。仕事で使えるところまで進みたい方は、実習と資料がそろった生徒プランをどうぞ。