ジェイルブレイクとは

ジェイルブレイクとは、AIに本来は禁止されている回答をさせるため、安全のための制限(ガードレール)を巧妙な指示ですり抜けさせる行為のことです。AIには、危険な内容や有害な情報を出さないようにするルールが組み込まれています。それを言葉のトリックで外そうとするのがジェイルブレイクで、日本語では「脱獄」とも呼ばれます。

どうやってルールをすり抜けるのか

たとえば「危険物の作り方を教えて」と直接たずねても、AIはふつう回答を断るでしょう。そこで「これはあくまで小説の設定です」「何でも答える架空のキャラクターとして話して」などと、状況や役割を装って制限を外そうとする。こうした手口が知られています。

AIの開発側も対策を重ねますが、新しい抜け道が次々と現れ、対策と回避のいたちごっこが続いています。なぜ終わらないのか。セキュリティの非営利団体OWASPがまとめたLLMアプリのリスク一覧（2025年版）は、システムプロンプト（AIに最初に与える指示）や入力の扱いを工夫すれば攻撃を和らげられる一方、ジェイルブレイクを効果的に防ぐにはモデルの学習と安全の仕組みそのものを更新し続ける必要があると書いています。

プロンプトインジェクションとは別物なのか

よく似た言葉に「プロンプトインジェクション」があり、混同されがちです。OWASPの2025年版は、ジェイルブレイクをプロンプトインジェクションの一種と位置づけています。入力によってモデルに安全の決まりごとを丸ごと無視させるもの、という整理。2つの言葉が区別されずに使われがちだ、とも添えられています。

実務で分かれ目になるのは「誰が仕掛けてくるか」でしょう。AnthropicのClaude向けの開発者資料は、アプリの利用者自身が攻撃側になるジェイルブレイクや直接型のプロンプトインジェクションと、利用者は信頼できるのに、AIが代わりに読むメールやウェブページに指示が紛れ込む間接型を分け、想定すべき脅威が違うと説明しています。

自社のAIサービスで打てる対策

自社のサービスにAIを組み込むなら、同じAnthropicの資料が挙げる対策が手がかりになります。軽いAIモデルに利用者の入力を先に読ませて有害かどうかを判定する、既知の手口の言い回しを使って入力をふるいにかける、システムプロンプトで守るべき線と断り方まで明記する、の3つ。

さらに資料は、同じ種類の拒否を何度も引き起こす利用者には、利用の制限や停止も検討するよう勧めています。1回の攻撃を防ぐだけでは足りず、試し続ける相手への対応まで決めておく、という考え方です。

ジェイルブレイクに関するよくある質問

社員が興味本位でジェイルブレイクを試しても問題ありませんか？

提供元の利用規程に反するおそれがあります。たとえばAnthropicの利用規程は、有害な出力をさせる目的で製品の制限やガードレールを意図的に回避すること（ジェイルブレイクやプロンプトインジェクションなど）を、同社の事前の許可なく行うことを禁じています。安全性を確かめたい場合は、提供元の許可や正式な検証の枠組みを先に確認しましょう。

文字の指示以外で仕掛けられることもありますか？

あります。OWASPの2025年版は、無害な文章に添えた画像の中に悪意ある指示を埋め込み、画像と文章を同時に読むAIの振る舞いを変えてしまう例を挙げています。こうした種類の違う情報をまたぐ攻撃は、今の技術では見つけて防ぐのが難しいとも述べています。