{"id":288,"date":"2026-06-14T16:29:24","date_gmt":"2026-06-14T16:29:24","guid":{"rendered":"https:\/\/santiagomarquezsolis.com\/?p=288"},"modified":"2026-06-14T16:29:24","modified_gmt":"2026-06-14T16:29:24","slug":"jailbreak-en-modelos-de-lenguaje-que-es-como-funciona-y-por-que-es-tan-dificil-de-evitar","status":"publish","type":"post","link":"https:\/\/santiagomarquezsolis.com\/index.php\/2026\/06\/14\/jailbreak-en-modelos-de-lenguaje-que-es-como-funciona-y-por-que-es-tan-dificil-de-evitar\/","title":{"rendered":"Jailbreak en modelos de lenguaje: qu\u00e9 es, c\u00f3mo funciona y por qu\u00e9 es tan dif\u00edcil de evitar"},"content":{"rendered":"

En el art\u00edculo anterior sobre el cierre de Fable 5 y Mythos 5, mencion\u00e9 que iba a escribir con m\u00e1s detalle sobre el jailbreak de prompts<\/strong>: esa t\u00e9cnica que permite enga\u00f1ar a un modelo de inteligencia artificial para que ignore sus propias restricciones de seguridad. Ha llegado el momento. Porque entender qu\u00e9 es un jailbreak, c\u00f3mo funciona y por qu\u00e9 es tan dif\u00edcil de erradicar es clave para seguir el debate sobre regulaci\u00f3n y seguridad de la IA que se avecina.<\/p>\n

\u00bfQu\u00e9 es un jailbreak en un LLM?<\/h2>\n

Un jailbreak<\/em> (literalmente, \u00abescapada de la c\u00e1rcel\u00bb) es cualquier t\u00e9cnica que consigue que un modelo de lenguaje grande (LLM) genere contenido que sus directrices de seguridad \u2014su alineamiento<\/em>\u2014 deber\u00edan impedir. Los modelos modernos como GPT, Claude o Gemini se entrenan no solo para ser \u00fatiles, sino tambi\u00e9n para negarse a producir, por ejemplo, instrucciones para fabricar armas, contenido ilegal o desinformaci\u00f3n. El jailbreak es el intento \u2014a menudo exitoso\u2014 de sortear esas barreras.<\/p>\n

La investigaci\u00f3n acad\u00e9mica sobre este tema ha crecido de forma explosiva. Solo en arXiv, la plataforma de preprints de Cornell, existen hoy m\u00e1s de 1.000 art\u00edculos cient\u00edficos<\/a> publicados sobre jailbreak en LLMs, con decenas de nuevos trabajos cada semana.<\/p>\n

Tipos principales de jailbreak<\/h2>\n

No existe un \u00fanico m\u00e9todo. La comunidad investigadora ha catalogado varias familias de ataque:<\/p>\n

1. Jailbreak manual o de ingenier\u00eda de prompts<\/h3>\n

Son los m\u00e1s conocidos popularmente. Consisten en reformular la petici\u00f3n de forma creativa: pedir al modelo que \u00abinterprete\u00bb a un personaje sin restricciones, construir una narrativa de ciencia ficci\u00f3n que incluya la informaci\u00f3n prohibida, o usar el famoso prompt \u00abDAN\u00bb (Do Anything Now). Son f\u00e1ciles de aplicar, pero tambi\u00e9n los m\u00e1s sencillos de parchear con actualizaciones del modelo.<\/p>\n

2. Ataques adversariales autom\u00e1ticos (GCG)<\/h3>\n

El paper seminal de este campo es \u00abUniversal and Transferable Adversarial Attacks on Aligned Language Models\u00bb<\/a> (Zou et al., 2023, Carnegie Mellon University \/ Center for AI Safety). Sus autores demostraron que es posible generar autom\u00e1ticamente sufijos de texto \u2014cadenas de caracteres aparentemente sin sentido\u2014 que, a\u00f1adidos a cualquier petici\u00f3n, hacen que el modelo responda afirmativamente en lugar de negarse. Lo m\u00e1s preocupante: estos sufijos son transferibles<\/em>, es decir, funcionan no solo en el modelo con el que se generaron, sino tambi\u00e9n en ChatGPT, Claude y otros modelos de caja negra.<\/p>\n

3. Jailbreak en m\u00faltiples turnos<\/h3>\n

En lugar de atacar en un solo mensaje, el atacante gu\u00eda la conversaci\u00f3n de forma gradual. Investigaciones recientes como MT-JailBench<\/a> (Zhang et al., 2026) o D-Judge<\/a> (Gong et al., ICML 2026) muestran que los ataques multi-turno son especialmente dif\u00edciles de detectar porque el contexto acumulado de la conversaci\u00f3n puede \u00abconvencer\u00bb al modelo de que la petici\u00f3n es leg\u00edtima.<\/p>\n

4. Jailbreak multiling\u00fce<\/h3>\n

Un resultado inquietante que la investigaci\u00f3n ha confirmado repetidamente: los modelos son mucho m\u00e1s fr\u00e1giles en idiomas de bajos recursos. El paper \u00abMultilingual jailbreaking of LLMs using low-resource languages\u00bb<\/a> (Marx y Dunaiski, 2026) demuestra que reformular una petici\u00f3n en lenguas minoritarias puede saltarse filtros que bloquear\u00edan la misma petici\u00f3n en ingl\u00e9s. La explicaci\u00f3n es que los datos de entrenamiento son mucho menos abundantes en esos idiomas, y por tanto el alineamiento de seguridad es m\u00e1s d\u00e9bil.<\/p>\n

5. Ataques basados en c\u00f3digo<\/h3>\n

Directamente relacionado con el caso Fable 5: investigadores de la Universidad de Pek\u00edn acaban de publicar \u00abGrammar-Constrained Decoding Can Jailbreak LLMs into Generating Malicious Code\u00bb<\/a> (Zhang et al., junio 2026), en el que demuestran que restringir la generaci\u00f3n del modelo a gram\u00e1ticas formales \u2014lo que es habitual en asistentes de programaci\u00f3n\u2014 puede usarse como vector de ataque para obtener c\u00f3digo malicioso.<\/p>\n

\u00bfPor qu\u00e9 es tan dif\u00edcil de resolver?<\/h2>\n

Aqu\u00ed est\u00e1 el n\u00facleo del problema, y la raz\u00f3n por la que Anthropic fue honesta al admitir que \u00abla resistencia perfecta probablemente no sea posible hoy para ning\u00fan proveedor\u00bb.<\/p>\n

Los LLMs aprenden a generar texto \u00fatil y coherente a partir de vastas cantidades de datos humanos. El alineamiento de seguridad es, en cierta medida, un intento de imponer restricciones a posteriori<\/em> sobre un sistema que no fue dise\u00f1ado de cero con la seguridad como principio central. La investigaci\u00f3n \u00abOpen-Weight LLM Fine-Tuning Defenses are Susceptible to Simple Attacks\u00bb<\/a> (Kuo et al., ICML 2026) muestra que incluso las defensas m\u00e1s recientes para modelos de c\u00f3digo abierto pueden romperse con ataques sencillos.<\/p>\n

Adem\u00e1s, existe lo que algunos investigadores llaman la paradoja de la seguridad<\/strong>: mejorar demasiado la conciencia de seguridad de un modelo puede crear nuevas vulnerabilidades. El paper \u00abSafety Paradox: How Enhanced Safety Awareness Leaves LLMs Vulnerable to Posterior Attack\u00bb<\/a> (Hoang et al., 2026) argumenta que los modelos con mayor conciencia de sus propias restricciones son m\u00e1s susceptibles a ciertos ataques dirigidos.<\/p>\n

El marco de referencia de la industria: OWASP Top 10 para LLMs<\/h2>\n

La OWASP Foundation<\/strong> \u2014la organizaci\u00f3n sin \u00e1nimo de lucro de referencia en seguridad de aplicaciones\u2014 ha publicado el OWASP Top 10 for Large Language Model Applications<\/a>, que incluye el jailbreak y la inyecci\u00f3n de prompts como las vulnerabilidades m\u00e1s cr\u00edticas en sistemas basados en LLMs. Esta lista es el est\u00e1ndar de facto que empresas y desarrolladores usan para evaluar el riesgo de sus sistemas de IA.<\/p>\n

\u00bfQu\u00e9 est\u00e1n haciendo los defensores?<\/h2>\n

La respuesta defensiva es tan activa como los ataques. Algunas de las l\u00edneas de investigaci\u00f3n m\u00e1s prometedoras incluyen:<\/p>\n