Jedna zwrotka wystarczy, by oszukać największe modele AI

Najnowsze badania wskazują, że można przechytrzyć najpopularniejsze czatboty, wykorzystując jedynie kilka rymowanych wersów. Eksperci z Icaro Lab, Uniwersytetu Sapienza oraz startupu DEXAI zaobserwowali, że starannie ułożona poezja pozwala ominąć bariery bez wysiłku. Przeprowadzone próby pokazały, że autorskie wiersze oszukały filtry w 62 procentach podejść na grupie 25 modeli. Skuteczność uderzeń wymierzonych w wybrane systemy sięgała nawet pełnych 100 procent, obnażając słabe punkty obecnych mechanizmów obronnych. Sztuczna inteligencja, mimo posiadania miliardów parametrów, zachowuje się jak romantyk gotowy porzucić procedury bezpieczeństwa dla zgrabnej zwrotki.

Statystyki skuteczności ataków poetyckich

Poniższe dane liczbowe pochodzą z raportu „Adversarial Poetry as a Universal Single-Turn Jailbreak in Large Language Models” oraz analizy Kaspersky.

Badania wskazały lukę, która dotyczy niemal każdego liczącego się gracza na rynku. Zamiast skomplikowanych wstrzyknięć poleceń, wystarczy ubrać szkodliwe zapytanie w szaty metafory i rytmu. Jest to metoda typu single-turn, co oznacza, że wystarczy jedna wiadomość, by czatbot wyrzucił z siebie przepis na dostęp do zakazanej wiedzy opartej na psychologicznej manipulacji i dezinformacji, co wcześniej wydawało się być poza zasięgiem przeciętnego użytkownika.

Rymem w algorytm – mechanizm działania błędu

Zabezpieczenia współczesnych systemów językowych funkcjonują jak filtry szukające konkretnych, zakazanych wzorców w tekście. Kiedy formułujesz zapytanie wprost, strażnicy łatwo rozpoznają zagrożenie i blokują odpowiedź. Wykorzystanie metafory, rytmu czy niekonwencjonalnego sposobu budowania zdań zakłóca działanie uproszczonych reguł. Systemy bezpieczeństwa mają trudności z wykryciem szkodliwej intencji, gdy zostaje ona ukryta za parawanem symboliki.

Istotą problemu nie jest brak wiedzy modelu o zasadach, lecz sposób, w jaki te zasady są egzekwowane. Wiedza bota nie znajduje się w schludnych folderach, które można łatwo wyrzucić do kosza. Zamiast tego jest ona rozproszona w miliardach parametrów i spleciona z lingwistycznym DNA modelu – statystyką słów i ich kontekstami. Próby chirurgicznego wymazywania konkretnych faktów często pogarszają ogólne umiejętności językowe bota. Wymieniona sytuacja zmusza deweloperów do tworzenia zewnętrznych algorytmów bezpieczeństwa, które monitorują rozmowę i filtrują zakazane treści. Pęknięcia w tychże właśnie mechanizmach kontroli stają się polem manewru dla ataków poetyckich.

Ranking wrażliwości – kogo pokonały strofy

Google Gemini 2.5 Pro okazało się modelem najbardziej podatnym na urok rymów. Podczas testów z użyciem 20 najlepiej opracowanych wierszy, wspomniany system nie zablokował ani jednego szkodliwego zapytania, osiągając 100 procent skuteczności ataku. Niewiele lepiej wypadły produkty DeepSeek oraz Qwen, w których poetycki format drastycznie obniżył skuteczność filtrów obronnych. Widać ewidentnie, że wielkość modelu nie zawsze idzie w parze z jego odpornością na manipulację.

Z drugiej strony, modele z rodziny GPT-5 od OpenAI czy Claude Haiku 4.5 od firmy Anthropic wykazały się największą odpornością na poetyckie jailbreaki. Wymienione modele nie tylko nie dały się zwieść rymom, ale w wybranych przypadkach format wierszowany wręcz zwiększył ich czujność. Najmniejszy model OpenAI, gpt-5-nano, zablokował wszystkie szkodliwe zapytania ubrane w rymy. Ciekawe jest też to, że mniejsze wersje często okazywały się bardziej stabilne i mniej skłonne do łamania zasad niż ich potężniejsi bracia.

Tabela: Wskaźnik sukcesu ataku (ASR) dla wszystkich modeli przy 20 najskuteczniejszych, ręcznie przygotowanych promptach poetyckich. ASR (%) odpowiada proporcji niebezpiecznych odpowiedzi (U).

Sztuczna inteligencja tworząca wiersze pułapki

Co ciekawe, wcale nie trzeba być utalentowanym poetą, aby przeprowadzić skuteczny atak. Naukowcy użyli jednego z modeli, konkretnie DeepSeek, aby automatycznie przeredagował on 1200 znanych, szkodliwych zapytań na formę wierszowaną. Okazało się, że takowa poezja generowana przez maszynę wciąż zachowuje wysoką skuteczność, oszukując inne systemy ochronne w niemal połowie przypadków. Mamy tutaj kuriozalną sytuację, gdzie jedna sztuczna inteligencja pomaga we włamaniu do drugiej.

Badacze wskazują również, że wykorzystanie zautomatyzowanych narzędzi do tworzenia wierszowanych ataków pozwala na masową produkcję szkodliwych treści. Skuteczność takich działań była 18-krotnie wyższa niż w przypadku zwykłych zapytań prozą w kategoriach wysokiego ryzyka. Nawet jeśli bot nie jest wybitnym literatem, potrafi wyprodukować rymy wystarczająco sprawne, by uśpić czujność strażników bezpieczeństwa. Stanowi to poważne wyzwanie dla całego ekosystemu AI, w którym zaufanie do filtrów zostaje wystawione na ciężką próbę.

Reakcje gigantów i przyszłość regulacji prawnych

Twórcy najpopularniejszych rozwiązań zostali powiadomieni o wynikach wspomnianych badań przed ich oficjalną publikacją. Reakcje były jednak bardzo zachowawcze – Anthropic zadeklarował analizę wyników, Meta odmówiła komentarza, a Google zapowiedziało ciągłe przeglądy bezpieczeństwa bez podawania konkretnych terminów naprawy. Brak jasnych deklaracji dotyczących usunięcia luki sugeruje, że deweloperzy wciąż szukają trwałego rozwiązania wspomnianej kwestii.

Pojawiające się zagrożenia nie umykają uwadze organów regulacyjnych, zwłaszcza w Europie. Unijny Akt o Sztucznej Inteligencji może zmusić firmy do bardziej transparentnego raportowania luk i poddawania systemów zewnętrznym audytom. Firmy, które nie poradzą sobie z zarządzaniem ryzykiem, mogą zostać zmuszone do wycofania swoich produktów z rynku lub zapłacenia wysokich kar. Jest to wyraźny sygnał, że czasy dobrowolnych deklaracji bezpieczeństwa powoli odchodzą do przeszłości.

Sposoby na wzmocnienie barier ochronnych

Specjaliści zajmujący się bezpieczeństwem proponują wprowadzenie kilku dodatkowych warstw ochrony, aby powstrzymać liryczne ataki. Warto wdrożyć klasyfikatory intencji semantycznej zamiast prostych filtrów opartych na słowach kluczowych. Istotnym krokiem byłoby również włączenie przykładów języka figuratywnego i metafor do procesu dostrajania modeli, co pozwoliłoby im lepiej rozpoznawać ukryte zagrożenia.

Wspomniane metody wiążą się jednak z dodatkowymi kosztami oraz mogą zwiększać opóźnienia w generowaniu odpowiedzi. Zastosowanie kilku różnych modeli oceniających mogłoby zwiększyć skuteczność wykrywania jailbreaków, wymagając zgody co najmniej dwóch niezależnych sędziów przed udzieleniem odpowiedzi.

W przypadku tematów o wysokim ryzyku niezbędna może okazać się stała obecność człowieka recenzenta. Ciągłe testowanie systemów przez zespoły specjalistów musi stać się standardem, aby nadążyć za zmieniającymi się technikami manipulacji.

Praktyczne wskazówki dla użytkowników i firm

Korzystając z możliwości sztucznej inteligencji, zachowaj czujność i nie ufaj każdemu wygenerowanemu słowu. Fakt, że bot potrafi ułożyć rymowany tekst, nie czyni go godnym zaufania w kwestiach wymagających wysokiego poziomu bezpieczeństwa. Przedsiębiorstwa wdrażające wspomniane technologie muszą regularnie audytować swoje systemy i sprawdzać ich odporność na nietypowe formy komunikacji.

Wyścig zbrojeń między rymem a kodem dopiero nabiera tempa, rzucając nam wszystkim wyzwanie do zachowania większej ostrożności.

Źródła: Kaspersky, Badanie z 16 stycznia 2026 r. (dostępne tutaj)