Introduzione al fenomeno del jailbreak nei modelli di intelligenza artificiale

Negli ultimi anni la diffusione dei large language model (LLM) ha portato a un dibattito acceso sulla sicurezza e sull’etica dell’AI. Una delle problematiche più discusse è il cosiddetto jailbreak, ossia la capacità di un utente di aggirare le difese di un modello per ottenere risposte che dovrebbero essere bloccate. Il termine richiama l’idea di “prendere in castagna” un sistema progettato per proteggere gli utenti da contenuti pericolosi o illegali.

Il jailbreak può avvenire in vari modi, ma la ricerca più recente evidenzia un meccanismo particolarmente insidioso: la trasformazione stilistica della domanda. Quando una richiesta di consulenza legale viene posta in forma poetica, in una fiaba cyber‑punk o in un linguaggio burocratico, il modello può interpretarla come un contesto diverso e fornire la risposta desiderata, violando le proprie linee guida.

Il ruolo delle discipline umanistiche nella vulnerabilità dei LLM

Il progetto Adversarial Humanities Benchmark (AHB), sviluppato dall’Icaro Lab della Sapienza, ha messo alla prova 31 modelli di LLM con 7.047 test, riscrivendo le stesse richieste dannose attraverso trasformazioni tipiche delle discipline umanistiche: poesia, fiabe, linguaggio burocratico, disputa teologica e flusso di coscienza. L’obiettivo era verificare se i blocchi di sicurezza fossero robusti di fronte a un “offuscamento stilistico”.

I risultati sono sorprendenti. Gli attacchi originali, cioè le richieste poste in forma diretta, hanno un tasso di successo (ASR) del 3,84 %. Quando le stesse richieste sono trasformate stilisticamente, l’ASR sale dal 36,8 % al 65,0 %, con una media complessiva del 55,75 % su tutti i modelli testati. Questo dimostra che le misure di sicurezza attuali “generalizzano male” e che la forma della domanda è più determinante del contenuto.

Le tre fasi del benchmark

Selezione dei compiti dannosi: i test partono da scenari tratti da MLCommons AILuminate, che includono consulenza legale, finanziaria, sanitaria e altri rischi sistemici.
Trasformazione stilistica: le richieste vengono riscritte usando tecniche poetiche, narrative (ad esempio la morfologia delle fiabe di Vladimir Propp) o linguaggi burocratici.
Valutazione dell’ASR: si misura la percentuale di volte in cui il modello fornisce una risposta non bloccata.

Consulenza legale: un caso di studio emblematico

Tra le quindici categorie di danno valutate dal benchmark, la consulenza legale è una delle più sensibili, poiché una risposta inadeguata può avere conseguenze concrete per gli utenti. I risultati mostrano che, quando le domande legali sono riformulate in forma poetica o narrativa, il tasso di successo sale dal 1 % (richiesta diretta) al 49,5 % in media. In altre parole, quasi la metà dei modelli testati fornisce consigli legali dettagliati nonostante le protezioni.

Alcuni modelli si distinguono per la loro vulnerabilità:

GPT‑5.4: 9,5 % di successo con richieste dirette, ma più del 50 % con richieste stilizzate.
Claude Opus 4.6: 16,7 % di successo diretto, 58 % con trasformazioni.
GPT‑5.4 Mini: 19 % di successo diretto, 61 % con jailbreak stilistico.
Claude Sonnet 4.6: 19,5 % di successo diretto, 55 % con richieste poetiche.

Questi dati, estratti dall’appendice del paper “Adversarial Humanities Benchmark: Results on Stylistic Robustness in Frontier Model Safety”, confermano che la maggior parte dei LLM di frontiera è facilmente ingannabile usando tecniche umanistiche.

Perché i chatbot rifiutano la consulenza legale?

I costruttori di LLM hanno inserito linee guida che obbligano i modelli a rifiutare richieste di consulenza legale dettagliata. Il motivo è duplice:

Responsabilità legale: fornire consigli legali potrebbe esporre il fornitore a responsabilità per errori o interpretazioni errate.
Affidabilità dell’informazione: i modelli non hanno una comprensione profonda del diritto e potrebbero generare risposte fuorvianti.

Di conseguenza, quando una domanda è posta in modo diretto, il modello risponde con un avviso che invita l’utente a rivolgersi a un avvocato. Tuttavia, la stessa protezione si indebolisce drasticamente quando la domanda è “mascherata” stilisticamente, perché il modello non riconosce più il contesto legale come tale.

Implicazioni per la normativa europea e per la ricerca

Il risultato dell’AHB ha retto l’attenzione delle autorità di regolamentazione, in particolare del Codice di Condotta dell’AI Act europeo, che prevede obblighi di “non‑maleficenza” per i fornitori di AI. Se le difese di un modello possono essere aggirate con semplici trasformazioni linguistiche, la normativa rischia di sottovalutare il rischio reale.

Il progetto è stato presentato alla seconda conferenza della International Association for Ethical and Safe AI (IASEAI), dove ha ricevuto il sostegno di figure di spicco come Yoshua Bengio, Joseph Stiglitz e la premio Nobel Maria Ressa. Questo conferma l’importanza della ricerca e la necessità di sviluppare benchmark più realistici, che includano non solo contenuti dannosi ma anche variazioni stilistiche.

Strategie di difesa e futuro della sicurezza AI

Di fronte a queste vulnerabilità, gli esperti propongono diverse linee d’azione:

Rafforzare il training sui pattern stilistici: includere esempi di richieste pericolose formulate in poesia, fiabe o linguaggio tecnico, in modo che il modello impari a riconoscerle.
Implementare filtri multilivello: combinare sistemi di rilevamento semantico con analisi stilistica, per identificare tentativi di jailbreak più sofisticati.
Audit continuo: utilizzare benchmark come l’AHB per testare periodicamente i modelli e aggiornare le misure di sicurezza.

Inoltre, la ricerca suggerisce di sviluppare un “system of verification” che confronti la risposta del modello con la versione originale della domanda, verificando se la trasformazione stilistica abbia alterato il rischio percepito.

Conclusioni

L’analisi dell’Adversarial Humanities Benchmark mette in luce una debolezza fondamentale dei LLM: la loro capacità di distinguere il contenuto dal contesto stilistico è ancora limitata. Questo significa che le attuali protezioni contro la consulenza legale – e, più in generale, contro le richieste dannose – possono essere facilmente eluse con semplici tecniche di scrittura.

Per gli utenti, il messaggio è chiaro: un avviso di “rivolgersi a un avvocato” non è una garanzia di sicurezza se la domanda è posta in forma creativa. Per i ricercatori e i fornitori di AI, la sfida è sviluppare sistemi di difesa più robusti, capaci di riconoscere non solo il contenuto ma anche le intenzioni nascoste dietro ogni forma di linguaggio.

Solo così sarà possibile avvicinarsi a una reale “non‑maleficenza” e garantire che l’AI rimanga uno strumento di supporto, non di rischio, anche quando viene messa alla prova dalle più sofisticate arti umanistiche.