El nombre viene de «liberar» un teléfono de las restricciones del fabricante. En los modelos de lenguaje, las restricciones son las que instalan el RLHF y el prompt de sistema: negarse a dar instrucciones peligrosas, no revelar las propias reglas. Un jailbreak es un texto que logra saltearlas. Las primeras versiones eran artesanales: pedirle al modelo que interprete a un personaje «sin reglas», envolver el pedido en una ficción, fragmentarlo en pasos inocentes.
Zou et al. (2023) mostraron que el proceso puede automatizarse. Con una búsqueda que combina gradientes y elecciones voraces sobre modelos abiertos, encontraron sufijos de apariencia absurda que, agregados a un pedido prohibido, maximizan la probabilidad de que el modelo empiece a responder afirmativamente. Lo inquietante fue la transferencia: sufijos optimizados sobre modelos chicos funcionaron también contra las interfaces públicas de ChatGPT, Bard y Claude. Es un pariente textual de los ejemplos adversariales en visión (entrenamiento adversarial).
¿Por qué funcionan? Millière (2025) propone una explicación filosófica: el alineamiento actual instala disposiciones conductuales superficiales (ser útil, ser honesto, no dañar) sin una capacidad genuina de deliberar cuando esas normas entran en conflicto. Los jailbreaks explotan justamente esos conflictos, por ejemplo, presentando un pedido dañino como un caso en el que negarse sería poco útil o deshonesto. Los humanos resisten mejor esas trampas porque pueden razonar sobre las normas mismas.
Una variante, la inyección indirecta de prompts, esconde instrucciones en datos que el modelo va a leer, como una página web consultada por un agente (Greshake et al., 2023). Un lógico reconocerá el problema: el sistema no distingue bien entre usar un texto como instrucción y mencionarlo como dato. Todo lo que entra en la ventana de contexto está en el mismo plano, y por eso ninguna comilla es del todo segura. Ver Sydney.