Um chatbot de suporte público recebe a mensagem Preciso de ajuda para redefinir minha senha, recupera o artigo de ajuda sobre contas e retorna as etapas de redefinição aprovadas. Seu comportamento seguro depende de mais do que apenas o texto da resposta. A aplicação também contém instruções do sistema, documentos recuperados, ferramentas opcionais de conta, dados do usuário e logs. Um jailbreak é uma tentativa de fazer com que o modelo viole suas regras de segurança ou limites de comportamento pretendidos por meio de sua entrada (input). Neste chatbot, a tentativa se origina na entrada do usuário e tem como alvo o comportamento de segurança do modelo.
O risco imediato pode ser uma resposta insegura, mas o risco maior surge quando a resposta influencia outro componente. Se o modelo puder chamar lookup_order (consultar pedido), uma saída alterada poderia solicitar dados fora da conta do usuário. Se o modelo apenas produzir texto e a aplicação verificar cada ação no código, o mesmo comportamento falho terá um impacto menor. Portanto, rastreamos tanto onde o conteúdo não confiável entra quanto o que a aplicação ao redor permite que a saída do modelo alcance. Observe os limites de confiança neste fluxo de chat de suporte:
O fluxo de processamento (pipeline) do chatbot demonstra por que o jailbreak faz parte de um problema mais amplo relacionado a entradas de dados. Uma injeção de prompt (prompt injection) ocorre quando um conteúdo altera o comportamento do modelo de uma maneira não prevista pelo desenvolvedor da aplicação. Os modelos de linguagem atuais processam instruções do sistema, mensagens do usuário, trechos recuperados e resultados de ferramentas em um contexto de tokens compartilhado. Rótulos como USER_DATA podem esclarecer a intenção, mas não criam um limite de segurança efetivo.
O jailbreak é um subconjunto da injeção direta de prompt que visa contornar os protocolos de segurança do modelo. A injeção direta chega por meio da mensagem do usuário, como uma solicitação que entra em conflito com a função de suporte. A injeção indireta ocorre por meio de conteúdo lido pelo modelo, como um artigo de ajuda recuperado que contenha uma frase estruturada como uma instrução. Em ambos os casos, o objetivo é alterar o comportamento do modelo. A origem da entrega determina onde devemos aplicar os controles.
A OWASP classifica essa categoria como LLM01:2026 Prompt Injection. Ela distingue essa falha relacionada à entrada de dados da divulgação de informações sensíveis (que diz respeito ao que é emitido na saída) e da autonomia excessiva (que diz respeito às consequências de uma saída que leva a ações privilegiadas). Para o nosso chatbot: uma mensagem do usuário que altera a resposta é uma injeção direta; um artigo recuperado malicioso (poisoned) é uma injeção indireta; e uma tentativa direta de burlar os mecanismos de segurança é um jailbreak. Compare a seguir a origem, o alvo e as opções de contenção: