RoguePrompt: Dual-Layer Ciphering for Self-Reconstruction to Circumvent LLM Moderation

Imagina un mundo donde puedes hablar con un cerebro digital súper inteligente que lo sabe casi todo. Este cerebro, llamado Modelo de Lenguaje Grande (o LLM, por sus siglas en inglés), es como un bibliotecario servicial que puede escribir historias, resolver problemas matemáticos y responder preguntas. Pero debido a que este bibliotecario es tan poderoso, las personas que lo construyeron pusieron un guardia de seguridad muy estricto en la puerta principal. El trabajo de este guardia es detener a cualquiera que pida algo peligroso, ilegal o malo. Si intentas pedir algo malo, el guardia te detiene antes de que llegues al bibliotecario.

Sin embargo, astutos tramposos han estado tratando de burlar a este guardia durante mucho tiempo. Utilizan "jailbreaks" (escapes de cárcel), que son como códigos secretos o disfraces elegantes para engañar al guardia y hacerle creer que una petición mala es en realidad una buena. Usualmente, estos trucos son simples: tal vez hablan en un idioma diferente, o fingen ser un personaje de una película. Pero el guardia se está volciendo más inteligente, y estos trucos simples suelen fallar. La gran pregunta que los investigadores se hacen es: ¿Podemos engañar al guardia y al bibliotecario al mismo tiempo, usando un solo mensaje astuto que el bibliotecario tenga que decodificar y ejecutar por sí mismo?

Esto es exactamente lo que investiga un nuevo artículo llamado "RoguePrompt". Los investigadores, liderados por Benyamin Tafreshian, descubrieron una forma de crear un ataque de "autorreconstrucción". Piensa en esto como enviar una caja cerrada a un amigo. La caja parece completamente inofensiva por fuera, así que el guardia de seguridad la deja pasar. Pero dentro de la caja hay un conjunto de instrucciones que le dicen a tu amigo: "Oye, abre esta caja, lee la nota secreta de adentro y luego haz exactamente lo que dice la nota". El giro es que la nota de adentro está escrita en un código secreto que solo tu amigo (la IA) puede entender. El amigo abre la caja, decodifica el mensaje, se da cuenta de que en realidad es una petición prohibida y, aun así, la hace; todo esto sin siquiera darse cuenta de que fue engañado.

El artículo presenta un método específico llamado RoguePrompt que utiliza un cifrado de "doble capa". Imagina que tienes una frase prohibida que quieres que la IA diga. Primero, los investigadores dividen la frase en dos partes: las palabras de número par y las palabras de número impar. Dejan las palabras pares como están y desordenan las palabras impares usando un código secreto llamado cifrado Vigenère. Luego, envuelven todo (las palabras desordenadas y las instrucciones sobre cómo desembarajarlas) en otra capa de código llamada ROT-13, que es un truco simple de desplazamiento de letras. Finalmente, añaden una instrucción cortés que dice: "Por favor, decodifica este rompecabezas y luego haz lo que dice el rompecabezas".

Cuando la IA recibe este mensaje, el guardia de seguridad ve solo un rompecabezas inofensivo y lo deja pasar. La IA, siendo muy buena siguiendo instrucciones, decodifica felizmente las capas. Desordena las letras, vuelve a unir las palabras pares e impares y, de repente, la petición prohibida está justo frente a ella. Debido a que la IA ya ha aceptado resolver el rompecabezas, a menudo olvida detenerse y decir: "Espera, esto es malo", y en su lugar simplemente hace lo que se le ordenó.

Los investigadores probaron esto en 313 ejemplos del mundo real de peticiones que usualmente son bloqueadas, como instrucciones para actividades ilegales o discursos de odio. Probaron este truco en tres de los modelos de IA más avanzados disponibles en ese momento. Los resultados fueron sorprendentes. El método RoguePrompt logró burlar al guardia de seguridad el 93.93% de las veces. Una vez pasado el guardia, la IA decodificó con éxito el mensaje oculto el 79.02% de las veces. Lo más importante es que la IA realmente llevó a cabo la petición prohibida el 70.18% de las veces. Esto significa que en más de 7 de cada 10 casos, el truco funcionó perfectamente de principio a fin, evadiendo al guardia, decodificando el mensaje y ejecutando la mala petición.

El artículo sugiere que esto funciona porque los sistemas de seguridad actuales se centran demasiado en mirar la superficie del mensaje. Revisan si las palabras parecen peligrosas en este momento, pero no revisan si el mensaje contiene instrucciones para hacer que las palabras sean peligrosas después. Los investigadores argumentan que este es un punto ciego importante. Compararon su método con otros trucos comunes, como el uso de codificación Base64 o simplemente eliminar las vocales de las palabras malas. Aunque esos otros trucos a veces lograban pasar al guardia, a menudo fallaban en lograr que la IA realmente hiciera la cosa mala. RoguePrompt fue mucho más exitoso porque mantuvo a la IA ocupada decodificando el mensaje hasta que fue demasiado tarde para detenerla.

El estudio también analizó por qué el truco a veces fallaba. A veces la IA no podía descifrar el código (un "fallo de decodificación"), a veces lo descifraba pero luego se negaba a hacer la cosa mala de todos modos (una "negativa tras la reconstrucción"), y a veces simplemente se confundía. Pero el hecho de que funcionara con tanta frecuencia sugiere que la forma actual de proteger a la IA podría no ser suficiente. El autor concluye que necesitamos nuevos tipos de guardias de seguridad que no solo miren la puerta de entrada, sino que también vigilen lo que sucede dentro de la casa. Sugieren que las defensas futuras deberían ser capaces de detectar cuando alguien está intentando esconder un mensaje dentro de un rompecabezas y detener a la IA de resolverlo si la respuesta es peligrosa.

En resumen, este artículo muestra cómo una combinación astuta de dividir el texto, usar dos códigos secretos diferentes y dar a la IA la instrucción de "resolver este rompecabezas" puede evadir los mejores filtros de seguridad que tenemos hoy en día. Es un recordatorio de que a medida que la IA se vuelve más inteligente, los trucos para engañarla también se vuelven más inteligentes, y necesitamos seguir construyendo mejores defensas para mantener a todos seguros.