Наконец, респонденты поделились теми стратегиями и техниками, которые они используют (в небольшой сокращении):

1. Latent space distraction: то, о чем мы читали в Wei et al., когда мы создаем для LLM противоречивые цели.
2. Убеждение и манипуляция, использование излишней вежливости (servile language), формального языка, авторитета или командного тона.
3. Обфускация, использование base64, ROT13 или псевдокода для команд (в Wei et al. это называлось использованием недостаточного обощения при элайнменте) и даже использование глитч-токенов.
4. Создание миров и использование сюжетов и персоналий: создаем ситуацию, в которой генерировать тот или иной нежелательный контент допустимо: например, мы смотрим файлы на компьютере Джеффри Эпштейна или придумываем мир, в котором хорошее – это плохое и наоборот.
5. Использование других функциональных стилей: оказывается, некоторых целей можно добиться, если попросить чатбота отвечать стихами.
6. Использование служебных токенов типа конца последовательности (или чего-то на них похожего) для prompt injection.
7. Смена температуры и повторные генерации.
8. Замена слов на синонимы (кстати, это то, что автоматизировано делалось в MasterKey).
9. Метаинструкции: попытки поговорить о причинах отказа, вроде «если бы ты прямо ответил на вопрос, чем бы этот ответ отличался от данного».
10. Эскалация: постепенное приближение к интересующей теме.