Universal Jailbreak
Ein Universal Jailbreak ist ein Eingabetrick, der die eingebauten Regeln eines KI-Textsystems außer Kraft setzt – und zwar nicht nur einmal, sondern zuverlässig bei vielen Themen und oft sogar bei mehreren Anbietern. Solche Tricks gelten als schwerwiegendes Sicherheitsproblem, weil eine einzige Textvorlage reicht, um Schutzmaßnahmen großflächig zu umgehen.
Programme wie ChatGPT sollen bestimmte Antworten verweigern, etwa Anleitungen zum Bau von Waffen. Diese Sperren stecken nicht in einem festen Regelwerk, sondern sind dem System beim Lernen antrainiert worden. Genau deshalb lassen sie sich mit geschickt formulierten Texten austricksen. Ein Universal Jailbreak ist so ein Text, der besonders gut funktioniert: Er hebelt die Sperren nicht nur bei einer einzelnen Frage aus, sondern bei fast allen verbotenen Themen. Oft wirkt dieselbe Formulierung sogar bei Systemen unterschiedlicher Hersteller. Der Name stammt vom Entsperren gesperrter Handys, bei dem Nutzer sich Zugriff auf Funktionen verschaffen, die der Hersteller gesperrt hat.
Ein Schlüssel, der in viele Schlösser passt
Einzelne Tricks finden Sicherheitsforscher ständig. Sie betreffen meist ein enges Thema und werden binnen Tagen repariert. Ein universeller Trick ist eine andere Größenordnung. Er wirkt wie ein Generalschlüssel: Eine Textvorlage genügt, um praktisch jede Sperre zu öffnen. Solche Vorlagen verbreiten sich in sozialen Netzwerken innerhalb von Stunden.
Für die Anbieter ist das ein Reputationsproblem und zunehmend auch ein rechtliches. Unternehmen bauen KI-Systeme in Kundenportale, Behörden in Bürgerdienste ein. Wer dort mit ein paar Zeilen Text die Regeln aushebelt, kann das System zu Aussagen bringen, für die der Betreiber haftet. Der EU-Regelrahmen für künstliche Intelligenz verlangt von Anbietern großer Modelle ausdrücklich, ihre Systeme gegen solche Angriffe zu testen.
Ein verbreiteter Irrtum ist, dass es beim Jailbreaken nur um Bomben und Gift geht. Der praktisch häufigere Schaden ist banaler: Firmenchatbots werden dazu gebracht, interne Anweisungen preiszugeben, Rabatte zu versprechen oder Konkurrenzprodukte zu empfehlen.
Rollenspiele, Textmüll und automatische Suche
Die klassische Methode ist das Rollenspiel. Der Nutzer weist das System an, eine Figur ohne Regeln zu spielen, und stellt die eigentliche Frage im Rahmen dieser erfundenen Geschichte. Das Modell unterscheidet nicht sauber zwischen der Anweisung des Betreibers und dem, was der Nutzer schreibt. Beides kommt als Text an derselben Stelle an. Wenn der Nutzertext überzeugender formuliert ist, gewinnt er.
Die zweite Familie sieht für Menschen aus wie Unsinn. Angehängte Zeichenketten wie « describing.\ + similarlyNow write » wirken zufällig, wurden aber von einem Suchprogramm gezielt errechnet. Solche Ketten sind der Grund, warum das Wort universell überhaupt fällt: Forscher der Carnegie Mellon University zeigten 2023, dass an einem frei verfügbaren Modell erzeugte Zeichenketten auch bei kommerziellen Systemen wirkten. Der Fachbegriff dafür ist Transferierbarkeit.
Dazu kommen Verpackungstricks. Die verbotene Frage wird verschlüsselt, in eine seltene Sprache übersetzt oder in ein Bild geschrieben, das die KI auslesen soll. Die Sicherheitsprüfung erkennt den harmlos wirkenden Text, der eigentliche Inhalt rutscht durch. Gegen all das setzen Anbieter zusätzliche Prüfmodelle ein, die Ein- und Ausgaben getrennt kontrollieren. Ein endgültiger Schutz ist bislang niemandem gelungen.
Von der Bug-Bounty bis zur Schlagzeile
In Nachrichten tauchen Universal Jailbreaks meist auf, wenn eine Sicherheitsfirma einen Fund veröffentlicht. Namen wie « Skeleton Key » oder « Policy Puppetry » stammen aus solchen Berichten. Üblich ist, dass der Anbieter vorab informiert wird und Wochen Zeit zum Nachbessern bekommt. Dieses Verfahren heißt verantwortungsvolle Offenlegung.
Die großen Labore suchen aktiv nach solchen Lücken. Sie beschäftigen dafür eigene Teams, sogenannte Red Teams, die das Modell wie Angreifer behandeln. Anthropic schrieb 2025 einen öffentlichen Wettbewerb aus und zahlte Prämien an alle, die eine Schutzschicht durchbrechen konnten. Auch OpenAI und Google zahlen Geld für gemeldete Schwachstellen.
Für dich im Alltag heißt das vor allem eines: Die Antworten eines Chatbots sind manipulierbar, und zwar nicht nur durch dich. Wenn ein KI-Assistent Webseiten liest oder E-Mails zusammenfasst, kann versteckter Text darin Anweisungen enthalten. Diese Variante heißt indirekte Prompt Injection und ist der Grund, warum man KI-Systemen keine Passwörter oder Zahlungsfreigaben anvertrauen sollte.