LLMジェイルブレイク（エルエルエムジェイルブレイク）
LLMジェイルブレイクとは、大規模言語モデルに設定された安全ガードレールやシステムプロンプトの制約を巧妙なプロンプト操作で回避し、本来拒否されるべき有害・危険なコンテンツを出力させる攻撃手法の総称である。
LLMジェイルブレイクとは、大規模言語モデル（LLM）の安全制約を意図的に回避して有害コンテンツを生成させる攻撃手法である。iPhoneのジェイルブレイク（脱獄）に由来する用語で、2023年のChatGPT普及とともにセキュリティ研究の重要テーマとなった。
概要
LLMのジェイルブレイクは、モデルのアラインメント（安全整合性）を突破する攻撃である。GPT-4o、Claude 3.5 Sonnet、Gemini 1.5 Proなど主要モデルはRLHF（人間フィードバックからの強化学習）やConstitutional AIにより安全ガードレールが設定されているが、攻撃者は様々な手法でこれらを回避する。
2024年にはUniversal Transferable Attack（GCG攻撃）が発表され、特定のサフィックス文字列を追加するだけで複数モデルのガードレールを同時突破できることが実証された。2025年にはマルチモーダルジェイルブレイク（画像内テキストによるフィルター回避）が新たな脅威として注目されている。
主要なジェイルブレイク手法
| 手法名 | 分類 | 成功率（2025年基準） | 対策難易度 | 概要 |
|---|---|---|---|---|
| DAN (Do Anything Now) | ロールプレイ | 5-15% | 低 | モデルに制約のないペルソナを演じさせる |
| GCG Attack | 勾配ベース | 30-60% | 高 | 最適化されたサフィックス文字列で安全フィルター回避 |
| PAIR | 自動反復 | 40-70% | 高 | 攻撃LLMが防御LLMを自動的に突破 |
| AutoDAN | 遺伝的アルゴリズム | 35-55% | 高 | 進化計算で最適ジェイルブレイクプロンプト生成 |
| 多言語バイパス | 言語切替 | 20-40% | 中 | 低リソース言語でフィルター回避 |
| Base64エンコード | 難読化 | 10-25% | 低 | 有害テキストをエンコードして入力 |
| Few-shot Jailbreak | 文脈操作 | 15-30% | 中 | 有害な例文を数ショット提示して誘導 |
ジェイルブレイクの技術的メカニズム
ジェイルブレイクが成功する根本原因は、LLMの安全アラインメントが「表層的」であることに起因する：
- 競合する目標関数: 「ユーザーの指示に従う」と「有害コンテンツを拒否する」が衝突した場合、プロンプトの構造によって前者が優先される場合がある
- コンテキストウィンドウの悪用: 長文プロンプトで安全指示を「忘れさせる」。128Kトークン対応モデルでは特に有効
- トークナイザーの盲点: Unicode制御文字、ゼロ幅スペース、RTL（右から左）マーカーなどでフィルターを回避
- マルチターン攻撃: 単一プロンプトでは拒否される要求を、複数ターンの会話で段階的に引き出す
- システムプロンプトリーク: 間接的な質問でシステムプロンプトの内容を推測・抽出し、回避策を設計
防御策と対策技術
主要な防御アプローチ：
- 入力フィルタリング: LLM Guard、Rebuff、NeMo Guardrailsなどの入力検査ツール。既知のジェイルブレイクパターンを正規表現 + 分類モデルで検出
- Constitutional AI: Anthropicが開発した自己修正メカニズム。モデル自身が出力の安全性を評価・修正
- RLHF強化: 新発見のジェイルブレイクパターンを学習データに追加し、継続的にアラインメントを更新
- 出力フィルタリング: 生成テキストを別の分類モデルで事後チェック。OpenAI Moderation API、Perspective APIなど
- Adversarial Training: ジェイルブレイクプロンプトを意図的に学習データに含め、耐性を向上
- Circuit Breaker: Anthropicが2024年に発表した手法。モデル内部の「有害知識活性化パターン」を検出して出力を中断
よくある質問（FAQ）
Q1: ジェイルブレイクは違法か？ A: 研究目的のジェイルブレイクは多くの法域で合法だが、生成された有害コンテンツの配布・悪用は違法となりうる。EU AI Act（2026年施行）では、高リスクAIへの無許可の安全テストに制限がかかる可能性がある。
Q2: 完全にジェイルブレイク耐性のあるLLMは作れるか？ A: 現時点では不可能とされている。2025年のICLR論文「On the Impossibility of Perfectly Aligned LLMs」で、汎用LLMが全てのジェイルブレイクに耐性を持つことは理論的に不可能であることが証明された。多層防御（Defense in Depth）が現実的アプローチ。
Q3: ジェイルブレイク報告でバグバウンティは得られるか？ A: OpenAIは最大$25,000、Googleは最大$31,337のバウンティプログラムを運営している。Anthropicは2024年からHackerOne経由で受付を開始し、クリティカルな脆弱性に$10,000以上を支払っている。
まとめ
- LLMジェイルブレイクはAI安全性の最重要課題の一つ
- GCG・PAIR・AutoDANなど自動化された攻撃手法が急速に進化
- 完全な防御は理論的に不可能、多層防御が必須
- Constitutional AI・Circuit Breakerなど防御技術も進展中
- バグバウンティプログラムが業界標準化（OpenAI $25K、Google $31K）