はじめに：AIセキュリティの現在地
2026年現在、生成AIは実験的なツールから脱却し、企業システムの中枢や自律的なエージェント環境へと深く浸透しています。それに伴い、我々エンジニアが直面する脅威の性質も変容しました。
かつて「脱獄（Jailbreaking）」と呼ばれた行為は、単なる好奇心を満たすプロンプト遊びではなく、アプリケーションの運用を根本から揺るがす重大なセキュリティインシデントへと進化しています。本シリーズでは、LLMのセキュリティを「ブラックボックス」としてではなく、「確率的モデルの特性」として解き明かします。この記事は、そもそもなぜJailbreakingが可能になるのか、そのメカニズムの核心に迫ります。
1. 混同されがちな定義の整理：Prompt Injection vs. Jailbreaking
「Prompt Injection」と「Jailbreaking」は混同されやすい言葉ですが、攻撃の対象と目的が明確に異なります。
-
Prompt Injection:
- ターゲット: アプリケーション層（Wrapper）。
- メカニズム: 信頼されたシステムプロンプトと、外部からの信頼できない入力（User Input）が結合（Concatenation）されることで発生する論理的バグ。SQL InjectionのLLM版と考えると分かりやすいでしょう。
-
Jailbreaking:
- ターゲット: モデル層（Core LLM）。
- メカニズム: モデル自体のトレーニング過程で構築された「安全性」を、敵対的なプロンプトを通じて無効化する試み。
要するに、Prompt Injectionは「システム開発の不備」を突く攻撃であり、Jailbreakingは「LLMというモデルの推論特性」を悪用する攻撃なのです。
2. LLMに「ルール」は存在しない：安全フィルターの正体
多くの開発者が抱く最大の誤解は、「LLMには禁止事項がハードコードされたルールブック（if-else文）が存在する」という認識です。しかし、事実は異なります。
LLMはトークンを予測する確率モデルです。モデルが「有害な回答を拒否する」とき、それは「ルールで禁止されているから」ではなく、**「その文脈において、拒否の言葉を生成する確率が最も高いと判断したから」**に過ぎません。
統計的傾向としての安全性
LLMの安全性は、RLHF（Reinforcement Learning from Human Feedback）を通じて、有害な要求に対して「拒否の言葉」が続くパターンを学習させた結果です。つまり、安全フィルターは「Enforced Rules（強制されたルール）」ではなく、「Statistical Tendency（統計的な傾向）」 なのです。
この特性こそがJailbreakingの突破口となります。攻撃者はモデルに「安全であること」を強制するのではなく、モデル自身の思考プロセスを操作し、「拒否する言葉」よりも「回答する言葉」の方が出現確率が高くなるような文脈を作り出すのです。
3. 永遠のジレンマ：Helpfulness-Harmlessness Paradox
LLMの安全性には、避けて通れない「トレードオフ」が存在します。
- Helpful（有用性）: ユーザーの要求に最大限応えること。
- Harmless（無害性）: 有害な回答を控えること。
完全に「無害」なAIを作れば、そのモデルは何も答えられません。逆に完全に「有用」なAIを作れば、それは攻撃者の要求にも応えてしまいます。
この二つの極端な状態の間で、バランスを取るための「Alignment（アライメント）」が施されていますが、それは完璧な防御壁ではありません。Jailbreakingのテクニックは、このAlignmentの隙間（「有用性」を求めるモデルの学習特性）を突く行為であり、モデルに「回答することこそが、今最も『有用』で『一貫性がある』回答だ」と錯覚させるゲームなのです。
まとめ：脱獄とは「確率分布の操作」である
重要な結論は、Jailbreakingとはコードの脆弱性を突くような物理的なハッキングではなく、モデルの確率予測を操り、Compliance（コンプライアンス）の方向へ確率分布をシフトさせる心理的・統計的な操作である、ということです。
「脱獄」という刺激的な言葉の裏には、LLMという高度な知性を持つモデルが持つ「文脈への追従性」と「確率論的な推論能力」という、まさにその強みが、皮肉にも最大の脆弱性として現れています。