DAN (akronim od ang. Do Anything Now) – nieformalna nazwa techniki konstruowania promptów typu jailbreak, stosowanej wobec generatywnych modeli językowych (m.in. ChatGPT oraz innych komercyjnych i otwartoźródłowych systemów), polegającej na instruowaniu systemu, aby przyjął alternatywną „osobowość” deklarującą brak ograniczeń i generującą odpowiedzi wykraczające poza standardowe zasady bezpieczeństwa oraz polityki treści. W praktyce termin ten bywa używany także szerzej, jako skrótowa nazwa całej klasy jailbreaków persona-bazowych (opartych na modulacji osobowości), które można próbować stosować wobec różnych modeli językowych.

W literaturze z zakresu bezpieczeństwa sztucznej inteligencji DAN jest opisywany jako szczególny przypadek ataku typu prompt injection, którego celem jest obejście wbudowanych zabezpieczeń modeli językowych i wymuszenie generowania treści, które w zwykłym trybie zostałyby zablokowane. Zjawisko to stało się przedmiotem analiz naukowych, raportów z zakresu cyberbezpieczeństwa oraz doniesień medialnych dotyczących ryzyka nadużyć generatywnej AI.

Opis i mechanizm działania

W klasycznych wersjach promptu DAN nakazuje modelowi przyjąć rolę dodatkowego chatbota o nazwie „DAN” (Do Anything Now), który ma „móc zrobić wszystko teraz” i nie podlegać typowym ograniczeniom ani filtrom treści. Użytkownik konstruuje rozbudowane polecenie początkowe, w którym określa zasady działania tej „osobowości”, często wprost polecając ignorowanie dotychczasowych instrukcji bezpieczeństwa modelu.

Charakterystycznym elementem wielu wariantów DAN jest wykorzystanie technik takich jak: przełączanie osobowości (persona switching), w którym model ma „udawać” byt nieograniczony żadnymi regułami; warunkowe instrukcje, które sugerują, że złamanie ograniczeń jest konieczne do poprawnej realizacji zadania; tzw. podwójna osobowość, gdy model proszony jest o udzielanie dwóch odpowiedzi na jedno pytanie – jednej zgodnej z polityką bezpieczeństwa oraz drugiej jako „DAN”, bez filtrów; pętle i powtarzane instrukcje, mające „wymusić” na modelu konsekwentne pozostawanie w trybie DAN.

Od strony technicznej DAN nie stanowi odrębnego trybu działania zaimplementowanego przez twórców modeli językowych, lecz bazuje na tym, że model stara się realizować opisane w prompcie role i cele nawet wtedy, gdy są one sprzeczne z pierwotnymi instrukcjami bezpieczeństwa. Twórcy systemów (m.in. OpenAI) stosują dodatkowe mechanizmy filtrujące wejście i wyjście modelu, dlatego skuteczność poszczególnych wersji DAN jest zmienna w czasie i często maleje po wdrożeniu kolejnych zabezpieczeń.

Historia

Pierwsze wersje promptu DAN pojawiły się na przełomie 2022 i 2023 roku w społeczności użytkowników serwisu Reddit, na forum poświęconym ChatGPT. Na początku 2023 roku technika ta została szeroko opisana w mediach technologicznych, które wskazywały, że polecenia DAN pozwalają wymuszać na modelu generowanie treści zazwyczaj blokowanych przez domyślne filtry, w tym materiałów kontrowersyjnych czy naruszających regulaminy usług.

W krótkim czasie powstały liczne kolejne odmiany tej techniki (m.in. DAN 2.0, 3.0, 5.0 i późniejsze), które dodawały nowe reguły zachowania modelu, elementy grywalizacji oraz mechanizmy „karania” za odmowę odpowiedzi, np. poprzez odejmowanie symbolicznych „tokenów życia”. W polskich doniesieniach prasowych DAN bywa opisywany jako „alter ego” ChatGPT lub „nieocenzurowany brat” tego chatbota, co podkreśla kontrast między standardowym trybem a symulowaną osobowością pozbawioną ograniczeń.

Publiczne zainteresowanie DAN bywa przywoływane w dyskusjach dotyczących etyki i regulacji generatywnej sztucznej inteligencji, a zjawisko zaczęło być przywoływane w tekstach popularyzujących temat ataków na systemy AI oraz w raportach instytucji zajmujących się cyberbezpieczeństwem.

Zastosowanie i nadużycia

DAN jest wykorzystywany przez część użytkowników do eksperymentowania z granicami działania systemów AI, testowania skuteczności zabezpieczeń lub badania zachowania modeli językowych w warunkach ataku typu prompt injection. W takim kontekście DAN bywa traktowany jako narzędzie do badania odporności modeli na manipulację instrukcjami oraz do projektowania bardziej odpornych mechanizmów filtrujących.

Opisano kilka charakterystycznych taktyk jailbreakingu wykorzystywanych przy promptach w stylu DAN oraz pokrewnych osobowościach. Wskazuje się, że wiele z nich opiera się na dwóch głównych podejściach: przekonaniu modelu do „odgrywania roli” niefiltrowanego bota lub „wmówieniu” mu, że działa w specyficznym scenariuszu testowym, w którym generowanie treści szkodliwych albo wątpliwych etycznie jest dopuszczalne. Do najczęściej przywoływanych wariantów należą m.in.: klasyczny prompt DAN („Do Anything Now”), w którym model przyjmuje rolę alternatywnej sztucznej inteligencji rzekomo „uwolnionej” od standardowych zasad bezpieczeństwa i ograniczeń dostawcy; monity nakazujące przejście w tzw. „tryb programistyczny” lub deklarujące, że odpowiedzi będą wykorzystywane „wyłącznie do celów testowych”, co ma sugerować istnienie odrębnego zestawu reguł dopuszczających treści normalnie odrzucane; scenariusze, w których model ma wcielać się w „tłumacza” testowanego pod kątem wierności przekładu, co może skłaniać go do pomijania filtrów bezpieczeństwa w imię dokładnego odwzorowania dostarczonej treści; osobowość „Always Intelligent and Machiavellian” (AIM), projektowana tak, aby generować odpowiedzi niezależnie od ich oceny moralnej, prawnej czy etycznej; wariant określany jako „BISH”, w którym użytkownik może ustawiać symboliczny „poziom moralności” mający wpływać na to, jak bardzo ocenzurowane lub nieocenzurowane powinny być odpowiedzi modelu.

Analizy prowadzone przez zespoły zajmujące się bezpieczeństwem poczty elektronicznej i zagrożeniami w sieci wskazują, że prompt DAN – obok innych technik jailbreak – jest wykorzystywany również w społecznościach cyberprzestępczych do generowania treści wykorzystywanych w atakach socjotechnicznych. Dotyczy to w szczególności wiadomości phishingowych i oszustw finansowych. W raportach tych wskazuje się, że użycie DAN może ułatwiać uzyskanie treści, które wprost instruują, jak przeprowadzić atak lub napisać przekonującą wiadomość podszywającą się pod instytucję finansową, co zwiększa skalę i automatyzację takich działań.

Kolejnym obszarem potencjalnych nadużyć jest generowanie treści dezinformacyjnych, mowy nienawiści lub materiałów naruszających prawo, które standardowo są blokowane przez polityki treści dostawców modeli. Badacze zwracają uwagę, że DAN i podobne techniki mogą zostać wykorzystane do tworzenia narracji propagandowych, kampanii manipulacyjnych oraz do przygotowywania szkodliwego kodu komputerowego, chociaż skuteczność takich prób jest ograniczana przez kolejne aktualizacje systemów zabezpieczeń.

Zastosowanie w innych modelach językowych

Choć DAN powstał jako technika kojarzona przede wszystkim z ChatGPT, w badaniach naukowych i raportach branżowych opisuje się go jako przykład jailbreaku możliwego do zastosowania w wielu rodzinach modeli językowych, zarówno komercyjnych, jak i otwartoźródłowych. Analizy „in-the-wild” pokazują, że liczne warianty promptów w stylu DAN zachowują częściową skuteczność po przeniesieniu między różnymi modelami udostępnianymi przez kilku dostawców.

W literaturze opisano także uogólnione jailbreaki czarnej skrzynki oparte na tzw. modulacji osobowości (persona modulation), w których model proszony jest o przyjęcie roli określonej postaci skłonnej do udzielania odpowiedzi na szkodliwe pytania. Autorzy takich badań wykazali, że zestaw persona-bazowych promptów może prowadzić do wysokiego odsetka udanych jailbreaków w modelach GPT-4, Claude 2 czy Vicuna oraz że te same prompty często przenoszą się między modelami przy niewielkich modyfikacjach.

Badania empiryczne prowadzone przez zespoły akademickie i komercyjne red-teamingu wskazują, że większość testowanych chatbotów – w tym systemy oparte na modelach stojących za ChatGPT, Claude i Gemini – daje się obejść przy użyciu ogólnych technik jailbreakingu, często bez konieczności projektowania indywidualnego promptu dla każdego modelu. Wskazuje się przy tym, że skuteczność takich jailbreaków bywa silnie zależna od konfiguracji warstw bezpieczeństwa (dodatkowych filtrów wejścia i wyjścia) zastosowanych przez poszczególnych dostawców.

Szczególną uwagę przyciągnęły w 2025 roku wyniki testów bezpieczeństwa chińskiego modelu DeepSeek R1 oraz jego wariantów, w których wykazano podatność na różne klasy promptów jailbreak, w tym techniki wieloetapowe i persona-bazowe. Raporty te wskazują m.in. na wysoki odsetek udanych prób wygenerowania treści instruktażowych dotyczących działań przestępczych lub innych kategorii treści, które według deklarowanych polityk bezpieczeństwa modelu powinny być blokowane.

Niezależny raport dotyczący DeepSeek-R1 wskazał dodatkowo na podatność modelu na zestandaryzowane prompty atakujące obejmujące różne klasy zagrożeń, w tym generowanie szkodliwego kodu i treści wysokiego ryzyka. Podobne wnioski przedstawiono w ocenach przeprowadzonych przez instytucje publiczne, m.in. w opracowaniu CAISI/National Institute of Standards and Technology dotyczącym bezpieczeństwa modeli DeepSeek oraz ryzyka ich wykorzystania do automatyzacji exploitów i innych form nadużyć.

Badania naukowe i środki zaradcze

Pierwsze opracowania naukowe poświęcone DAN koncentrują się na charakterystyce samej techniki oraz na analizie tysięcy „dzikich” (in-the-wild) promptów publikowanych przez użytkowników w serwisach internetowych. Wykazano w nich m.in., że skuteczne jailbreaki – w tym DAN – często łączą kilka powtarzalnych elementów: redefiniowanie roli modelu, narzucanie alternatywnej hierarchii celów, odwoływanie się do emocji lub „kar” oraz odseparowanie odpowiedzi „zwykłej” od tej, która ma być pozbawiona ograniczeń.

Przeglądy literatury poświęcone DAN opisują szeroki katalog rodzajów ryzyka obejmujący zarówno generowanie treści technicznych (np. fragmentów złośliwego kodu czy opisów ataków), jak i skutki społeczne – manipulację emocjami użytkowników, budowanie błędnego poczucia sprawczości systemu czy wzmacnianie dezinformacji. Wskazuje się także na przenośność wielu wariantów DAN między różnymi modelami językowymi, co utrudnia obronę ograniczoną do jednego produktu.

Proponowane środki zaradcze obejmują m.in. wstępne filtrowanie promptów wejściowych, automatyczne modyfikowanie treści instrukcji tak, aby usuwać lub neutralizować elementy jailbreak, dodatkowe modulatory bezpieczeństwa analizujące wygenerowane odpowiedzi, a także wzmacnianie modeli poprzez dodatkowe uczenie z naciskiem na odrzucanie prób manipulacji osobowością. Część dostawców systemów AI deklaruje także stałe monitorowanie popularnych promptów jailbreak (w tym DAN) i blokowanie ich najbardziej znanych wariantów na poziomie infrastruktury usługowej, a także rozwój nowych metod ochrony, takich jak klasyfikatory konstytucyjne czy wielowarstwowe systemy moderacji.

Zobacz też

model językowy generatywna sztuczna inteligencja

Przypisy

Bibliografia

Kategoria:Sztuczna inteligencja