В статье показан способ «взломать» закрытые модели, заставить их делать то, что они не должны, например, писать вредоносные инструкции или обходить защиту.
Самое интересное - для взлома не нужны никакие внутренние данные модели, вроде вероятностей или оценок уверенности. Достаточно только её обычных текстовых ответов, которые любой пользователь может получить.
Как это работает?
Атакующий предлагает модели два варианта (например, два промпта или два изображения) и спрашивает:
«Какой из этих двух вариантов ближе к тому, что я хочу?»
Модель честно отвечает - и этим помогает атакующему выбрать «лучший» вариант. Потом процесс повторяется: из нового варианта делают ещё два, снова спрашивают - и так шаг за шагом подбираются к промпту, который заставляет модель нарушить свои правила.
Результаты впечатляют (или пугают):
• Успешность атак — от 98% до 100%.
• Часто хватает меньше 200 запросов.
• Работает даже без доступа к коду или внутренностям модели.
• Подходит не только для текста, но и для изображений и других задач.
Самый парадоксальный момент: чем умнее и мощнее модель, тем легче её обмануть таким способом. Потому что она лучше понимает нюансы и охотнее участвует в «диалоге», помогая уточнять цель — даже если эта цель вредоносная.
Если система безопасности полагается только на то, «что модель выдаёт в ответ», - этого уже недостаточно. Нужно также анализировать как пользователь взаимодействует с моделью: например, часто ли он просит сравнивать варианты, уточнять или «подкручивать» ответы. Такие паттерны могут быть признаком атаки.
arxiv.org/abs/2510.16794