Serangan yang mengubah permintaan, bukan model
Jailbreak LLM adalah serangan saat penyerang mengubah permintaan teks agar model menghasilkan jawaban yang semestinya ditolak, tanpa mengubah kode, bobot, atau pelatihan model. Inilah alasan deteksinya lebih sulit daripada mencari kerentanan perangkat lunak dengan pola yang sudah dikenal: bentuk prompt tidak terbatas, dan teknik yang gagal hari ini bisa diganti besok. Jailbreak adalah serangan prompt layer yang memanfaatkan kemampuan LLM mengikuti instruksi; saat instruksi beradu, model dapat lebih mengutamakan permintaan yang dirancang penyerang. Namun, jailbreak tidak sama dengan prompt injection attack. Jailbreak mengubah permintaan pengguna, sedangkan injeksi prompt menyisipkan instruksi lewat konten seperti dokumen, halaman web, atau hasil alat yang dibaca model. Bagi keamanan chatbot AI, perbedaan ini menentukan sumber ancaman yang harus diawasi. Keduanya dapat berujung pada tindakan berbahaya, tetapi jalur masuknya berbeda.
Satu pertahanan tidak berlaku untuk semua model
Mengandalkan satu filter atau menganggap model yang lebih baru kebal adalah taruhan yang buruk. Dalam pengujian terhadap 32 prompt berbahaya dan 28 jenis serangan, satu teknik gabungan menembus 94 persen kasus pada GPT-4 dan 81 persen pada Claude 1.3. Hasil tiap teknik juga berbeda tajam antar-model: role-play AIM berhasil pada GPT-4 tetapi tidak pada Claude 1.3, sementara pengodean Base64 memberikan hasil yang lebih seimbang. Ketika penguji boleh memilih serangan terbaik untuk setiap prompt, seluruh 32 prompt berhasil ditembus pada kedua model. Angka ini bukan jaminan bahwa setiap serangan di dunia nyata akan berhasil, tetapi menunjukkan mengapa tidak ada solusi universal. Keberhasilan bergantung pada kemampuan model, pelatihan keselamatan, format prompt, pengaturan sampling, dan jumlah percobaan yang dilakukan penyerang. Karena itu, keamanan harus diuji ulang saat model, prompt, atau alur kerja berubah.
Jangan samakan jailbreak dengan bug kode
Perbandingan dengan bug konvensional memperjelas risikonya. CVE-2026-0768 pada Langflow adalah cacat eksekusi kode jarak jauh tanpa autentikasi: permintaan HTTP ke endpoint validasi dapat menjalankan Python yang dikirim penyerang di host. Pelaporan publik menyebut rilis Langflow hingga dan termasuk versi 1.4.2 terdampak; cacat itu diberi skor keparahan 9,8 dan telah dieksploitasi di alam liar. Sensor mencatat lebih dari 50 upaya dalam beberapa jam pada 30 Agustus 2026, lalu lebih dari 360 pada 1 September. Advisory diterbitkan pada 9 Januari 2026, tetapi mitigasi yang dinyatakan saat itu bukan patch, melainkan membatasi interaksi dengan produk. Ini contoh bug kode yang dapat ditautkan ke endpoint dan versi tertentu. Jailbreak berbeda: model tidak perlu ditembus lewat kerusakan kode. Instruksi bermusuhan masuk saat sistem berjalan, sehingga kontrol harus memeriksa permintaan dan membatasi dampak ketika model bertindak.
Amankan lapisan prompt dan tindakan AI
Perusahaan tidak cukup melindungi model dasarnya; mereka perlu mengendalikan jalur yang menghubungkan prompt, alat, data, dan tindakan. Untuk sistem Langflow yang mungkin terdampak, batasi akses jaringan ke layanan dan endpoint validasi, periksa versi yang digunakan, serta telaah aktivitas mencurigakan. Karena endpoint yang rentan tidak meminta kredensial, keterpaparan bergantung pada apakah layanan dapat dijangkau. Untuk aplikasi LLM, saring prompt dan konten eksternal, batasi laju percobaan, catat permintaan, dan minta persetujuan sebelum tindakan sensitif seperti membaca berkas atau memanggil alat. Uji kontrol ini dengan variasi serangan, bukan hanya satu contoh. Jailbreak adalah peristiwa saat sistem berjalan: permintaan dapat dihitung, dibatasi lajunya, difilter, dan dicatat seperti permintaan lain. Pertanyaan penting bukan apakah model bisa dibobol, melainkan berapa banyak percobaan yang dibutuhkan dan apakah lapisan sistem menyadarinya.
