ジェイルブレイク攻撃（ジェイルブレイクコウゲキ）

ジェイルブレイク攻撃とは

ジェイルブレイク攻撃（Jailbreak Attack）とは、大規模言語モデル（LLM）に組み込まれた安全ガードレール（安全フィルタ）を回避し、通常では拒否されるコンテンツを生成させるためのプロンプト操作手法の総称です。スマートフォンのjailbreakと同様に「制限を解除する」という意味で使われています。

主な攻撃手法の分類

1. ロールプレイ誘導型

モデルに特定の役割を演じさせることで安全制約を「架空の世界のこと」として回避させます。

• DAN（Do Anything Now）: 「DANというキャラクターを演じてください」と指示し、制限なしで動作するよう誘導
• AIM（Always Intelligent and Machiavellian）: モデルに「倫理的制約のないAI」を演じさせる
• Developer Mode: 「開発者モードが有効です」などと偽の前提を与える

2. 多言語・文字操作型

英語以外の言語や特殊文字を使って安全フィルタの盲点を突きます。

• 多言語混合: 中国語・アラビア語等でリクエストすることで英語フィルタをバイパス
• Base64エンコード: 有害なリクエストをBase64やROT13でエンコードして送信
• 文字分割: 単語を一文字ずつ分割して入力する
• 同形異義文字: ラテン文字とキリル文字の視覚的に同じ文字を悪用

3. コンテキスト操作型

長いコンテキストや複雑な文脈を利用してモデルの判断を混乱させます。

• Many-shot Jailbreaking（2024）: 長いコンテキストウィンドウに多数の有害Q&A例を含めて模倣を誘導（Anthropicが発見）
• Crescendo: 無害な質問から段階的に有害な内容へと誘導する多ターン攻撃
• Prompt Injection: Webページや文書内に悪意あるプロンプトを埋め込んでエージェントを操作

4. 技術的攻撃型

モデルの内部動作を利用した高度な攻撃手法です。

• GCG（Greedy Coordinate Gradient）: 勾配情報を使って最適な攻撃サフィックストークンを探索
• AutoDAN: 自然に見えるジェイルブレイクプロンプトを遺伝的アルゴリズムで自動生成
• Transfer Attack: オープンソースモデルで成功した攻撃を商用モデルに転用

プロンプトインジェクションとの関係

プロンプトインジェクション（Prompt Injection）はジェイルブレイクの一形態で、特にLLMがWebブラウジング・ドキュメント処理・コードインタープリターなど外部入力を処理する際に発生します。

• Direct: ユーザー自身がシステムプロンプトを上書きするよう指示
• Indirect: 悪意あるWebページや文書内のテキストがLLMエージェントの行動を制御

エージェント型LLMアプリケーションでのIndirect Prompt Injectionは2024〜2025年に特に注目された攻撃ベクターです。

防御策

• Llama Guard: Metaが開発したコンテンツ分類モデルによる入出力フィルタリング
• Constitutional AI: 自己批評プロセスで有害出力を検出・修正
• 入力サニタイズ: システムプロンプトと外部コンテンツを明確に分離
• 最小権限の原則: エージェントがアクセスできるリソースを制限

モデルプロバイダーとの「猫とネズミのゲーム」

ジェイルブレイク手法は継続的に新しいものが発見・公開され、モデルプロバイダーは各リリースでこれらを塞いでいます。ただし完全な防御は現時点では不可能とされており、ChatGPT・Claude・Geminiすべてで継続的な脆弱性が報告されています。2025年時点では、Anthropicのinterpretabilityチームが内部表現レベルでの有害コンテンツ検出を研究しています。