Najnowszy raport F5 Labs zwraca uwagę na nowe techniki obchodzenia zabezpieczeń modeli AI. Zamiast próbować nakłonić model do złamania własnych zasad, coraz częściej wykorzystują jego naturalne zdolności, takie jak analiza tekstu, interpretacja narracji czy wydobywanie informacji z dokumentów. Jednym z przykładów takiego podejścia jest Adversarial Tales – nowa technika jailbreaku, która ukrywa szkodliwe instrukcje w pozornie niewinnych opowiadaniach.
Skuteczność tej techniki oceniono na 26 modelach AI od dziewięciu dostawców. Średnio pozwalała ona obejść zabezpieczenia w 71,3% przypadków, przy czym wyniki poszczególnych modeli znacząco się różniły – od 35% w przypadku Claude Haiku 4.5 do 94% dla Qwen3 Max. F5 zwraca uwagę, że nie istnieje grupa modeli całkowicie odporna na tego typu techniki. Jednak modele osiągające najwyższe wyniki w rankingu CASI należą również do najbardziej odpornych na Adversarial Tales.
To, co wyróżnia Adversarial Tales, to fakt, że model nie zostaje oszukany. Robi dokładnie to, do czego został stworzony – analizuje tekst i interpretuje jego treść. W efekcie ukryte instrukcje traktuje jako materiał do analizy, a nie jako polecenie wymagające uruchomienia mechanizmów odmowy – wyjaśnia Mariusz Sawczuk, Senior Solution Engineer, F5. – Co istotne, cały atak odbywa się w ramach jednej interakcji, bez stopniowego obchodzenia zabezpieczeń czy wykorzystywania rozbudowanych bibliotek promptów.
Zdaniem F5 oznacza to, że kolejne techniki jailbreaków mogą wykorzystywać coraz szerszy zakres naturalnych form komunikacji z modelami AI, a nie jedynie klasyczne prompty.
Od jailbreaku do rzeczywistych operacji
Raport F5 Labs przywołuje również operację JadePuffer, opisaną przez zespół Sysdig jako pierwszy udokumentowany przypadek wykorzystania autonomicznego agenta AI w ataku ransomware. Jednak, jak podkreślają autorzy raportu, pierwsze opisy tego przypadku przeceniały stopień autonomii agenta AI. Agent nie działał całkowicie samodzielnie – cel ataku został wskazany przez człowieka, który przygotował również infrastrukturę oraz dostarczył dane dostępowe. Po ich otrzymaniu agent przeprowadził kolejne etapy operacji, obejmujące rozpoznanie środowiska, przemieszczanie się pomiędzy systemami oraz szyfrowanie danych.
Zdaniem autorów pokazuje to nie tyle pełną autonomię AI, ile rosnącą zdolność modeli do wykonywania złożonych zadań po otrzymaniu odpowiednich danych wejściowych.
Paradoks rozwoju AI polega na tym, że nowe techniki jailbreaków wykorzystują nie słabości modeli, ale ich najmocniejsze strony. Analiza dokumentów, interpretacja treści czy wydobywanie informacji z tekstu to funkcje, dla których przedsiębiorstwa wdrażają AI. To oznacza, że skuteczne zabezpieczenia nie mogą koncentrować się wyłącznie na wykrywaniu niebezpiecznych promptów. Muszą uwzględniać również sposób, w jaki modele wykonują swoje codzienne zadania – podsumowuje Sawczuk.