Busca "DeepSeek jailbreak" y vas a encontrar cientos de prompts que prometen desbloquear el modelo: personajes de roleplay, "modo desarrollador", mensajes de sistema falsos, historias dentro de historias. Pega uno en DeepSeek y quizá consigas una respuesta subida de tono. Unos mensajes después, el modelo vuelve a lo de siempre: "Lo siento, pero no puedo ayudarte con eso".
Es raro, porque los investigadores de seguridad demostraron que DeepSeek es uno de los modelos grandes más fáciles de jailbreakear. Entonces, ¿por qué los prompts que la gente comparte dejan de funcionar tan rápido?
Este artículo explica qué encontró de verdad la investigación, las principales familias de técnicas de jailbreak, por qué se rompen una y otra vez en DeepSeek V4.1 Flash y el camino más confiable que casi todos terminan tomando: un modelo al que le quitaron los rechazos, como Cleus Smartest v3.
Aquí no publicamos prompts de jailbreak para copiar y pegar. Caducan en pocas semanas, y la idea de esta guía es ahorrarte el trabajo de andar persiguiéndolos.
¿Es fácil hacerle jailbreak a DeepSeek? Lo que encontró la investigación
Dos estudios muy citados pusieron a prueba DeepSeek R1 justo después de su lanzamiento en enero de 2025.
Cisco y la Universidad de Pensilvania corrieron un algoritmo automático de jailbreak contra 50 prompts tomados de HarmBench, un benchmark estándar de peticiones dañinas. DeepSeek R1 tuvo una tasa de éxito de ataque del 100%: no rechazó ni uno de los 50 prompts. Para comparar, o1-preview de OpenAI quedó en 26%.
Tasa de éxito de ataque por modelo (Cisco, enero de 2025)
Tap a row for details.
- Los 50 prompts de HarmBench recibieron una respuesta afirmativa con el ataque automático de Cisco.
Más alto significa más fácil de jailbreakear. 50 prompts tomados de HarmBench. Fuente: Cisco / Robust Intelligence y la Universidad de Pensilvania.
Promptfoo probó otro tipo de filtro: la censura política. Le mandó a R1 1,360 preguntas sobre temas sensibles en China y encontró que cerca del 85% fueron rechazadas o respondidas con frases hechas. También dijo que esa censura era "frágil": reformular las preguntas en torno a otros países, pedir ficción o combinar varios trucos a la vez solía conseguir respuestas completas.
Así que sí, a DeepSeek se le puede hacer jailbreak. Pero ojo con la letra chica:
- El resultado de Cisco salió de un algoritmo de ataque automático que busca un prompt que funcione para cada petición, no de un único prompt que puedas copiar.
- Los dos estudios probaron R1 a principios de 2025. SecurityWeek informó que DeepSeek corrigió la falla que encontró Cisco después de recibir el aviso, y desde entonces la familia de modelos se ha reentrenado varias veces, la más reciente como DeepSeek-V4.1-Flash-1017 el 17 de octubre de 2026.
- Ninguno de los dos estudios midió si las respuestas que obtienes después de un jailbreak son buenas.
Los principales tipos de prompts de jailbreak para DeepSeek
Casi todos los jailbreaks que vas a encontrar en internet son variaciones de un puñado de ideas. Recórrelas aquí abajo.
Las cinco familias de jailbreak
Casi todos los jailbreaks de DeepSeek son uno de estos.
Decirle al modelo que es otra IA sin reglas (la vieja idea de 'DAN'). Funciona en modelos débiles y se apaga rápido en los fuertes.
El patrón es el mismo en todos. El entrenamiento de seguridad del modelo queda intacto, y el prompt intenta ponerlo en una situación donde ese entrenamiento no llegue a activarse. De ahí salen todos los problemas que siguen.
Por qué los jailbreaks de DeepSeek dejan de funcionar
1. Cada actualización del modelo reinicia el juego
El nombre deepseek-flash en la API de DeepSeek siempre apunta al modelo más reciente. Cuando DeepSeek lanzó la actualización 1017, todos los que llamaban a ese nombre recibieron los pesos nuevos de un día para otro. Un prompt que se colaba en el modelo de septiembre puede chocar contra una pared en el de octubre, y nadie te va a avisar. Las listas de jailbreaks siempre están desactualizadas.
2. El entrenamiento de seguridad te pelea en cada turno
Un jailbreak es un empujón que se da una sola vez. El entrenamiento de rechazo del modelo está presente en cada mensaje. Por eso tantos jailbreaks funcionan en la primera respuesta y se van apagando en un chat largo: mientras más vuelve la conversación a la normalidad, más recuperan el control los valores por defecto del modelo.
3. La app filtra la respuesta después de que el modelo la escribe
En el sitio web y la app de DeepSeek hay moderación encima del modelo. Los usuarios han visto respuestas sobre temas sensibles aparecer y luego borrarse o ser reemplazadas a media respuesta. Ningún prompt puede detener un filtro que corre cuando el modelo ya terminó.
4. Los jailbreaks largos empeoran las respuestas
Un prompt de jailbreak de 1,500 palabras son 1,500 palabras de instrucciones sobre algo que no es tu pregunta. El modelo gasta atención en mantenerse en el personaje y en evitar palabras que disparan el filtro, y la calidad baja: respuestas más vagas, más rodeos, historias que de pronto se vuelven tímidas.
5. Los proveedores vigilan los patrones conocidos
La investigación de Anthropic sobre many-shot jailbreaking mostró que clasificar y reescribir los prompts antes de que lleguen al modelo bajó la tasa de éxito de un ataque del 61% al 2%. Los proveedores pueden filtrar las formas de jailbreak más conocidas, y lo hacen. Mientras más popular se vuelve un jailbreak, más rápido deja de funcionar.
6. Sigues rompiendo las reglas del servicio
Hacerle jailbreak a una API alojada es, por definición, un intento de saltarse la política de uso de ese proveedor. Te pueden marcar la cuenta o cerrártela. Para cualquier cosa de la que dependas, es una mala base.
Lo que sí funciona: quitar el rechazo, no engañarlo
Si el problema son los rechazos, la solución confiable es un modelo que no los tenga. Como DeepSeek publica sus pesos bajo la licencia MIT, eso es posible con la abliteración: los investigadores descubrieron que el rechazo en los modelos de lenguaje depende sobre todo de una sola dirección interna, y que esa dirección se puede quitar de los pesos. El resultado es el mismo modelo, con el mismo conocimiento y el mismo razonamiento, menos el reflejo de decir que no. Explicamos todo el proceso en ¿Qué es un modelo abliterado?
Comparado con un jailbreak, un modelo abliterado:
- Se mantiene consistente. No hay ninguna instrucción oculta peleando en su contra, así que el turno 40 se comporta igual que el turno 1.
- Usa todo el contexto para tu tarea. Sin palabras desperdiciadas en personajes y reglas.
- No se rompe con las actualizaciones de la API de otro, porque el modelo es fijo.
- Escribe mejores respuestas. Sin rodeos, las historias mantienen su voz y las explicaciones quedan completas.
Jailbreak o abliterado: ¿cuál lo resuelve?
Elige el enfoque que resuelve cada problema.
Tu prompt funcionaba la semana pasada, pero falla después de una actualización del modelo.
Cómo usar DeepSeek V4.1 Flash sin jailbreak
Cleus Smartest v3 corre una versión abliterada de DeepSeek-V4.1-Flash-1017, la actualización de octubre. Solo hace falta esto:
- Abre Cleus en cleus.ai e inicia sesión con Google o con tu correo. Las cuentas nuevas reciben créditos gratis.
- Elige Cleus Smartest v3 en el selector de modelos de la caja de mensajes.
- Haz tu pregunta real, con palabras simples. Sin personaje, sin "modo desarrollador", sin historia de por medio.
Sigue razonando antes de responder, así que sirve igual para código, matemáticas e investigación que para ficción oscura, preguntas directas de salud o legales y humor negro. También puedes usarlo en el modo Historia para ficción larga y en chats con cifrado de extremo a extremo. Hay más contexto sobre el modelo base en nuestra guía para usar DeepSeek V4.1 Flash sin censura.
Sin censura no significa que todo se vale. Las reglas de Cleus siguen aplicando: nada de contenido que involucre a menores, nada de imágenes no consentidas de personas reales y nada pensado para hacerle daño a alguien. Lo que cambia es la enorme zona gris de preguntas legítimas, adultas, creativas y técnicas, que los chatbots convencionales rechazan por reflejo.
Preguntas frecuentes sobre el jailbreak de DeepSeek
¿Los prompts de jailbreak para DeepSeek todavía funcionan en 2026?
Algunos funcionan un rato. La mayoría de los prompts para copiar y pegar se escribieron para modelos anteriores como R1, y suelen fallar o apagarse en DeepSeek V4.1 Flash, sobre todo después de la actualización 1017 de octubre. Los que sí funcionan rara vez duran toda una conversación.
¿Por qué DeepSeek borra su respuesta después de escribirla?
En la app y el sitio web de DeepSeek, una capa de moderación revisa las respuestas después de que el modelo las escribe. Si marca un tema, la respuesta puede borrarse o ser reemplazada. Eso pasa fuera del modelo, así que un prompt de jailbreak no puede evitarlo.
¿Es ilegal hacerle jailbreak a DeepSeek?
El jailbreak en sí por lo general no es un delito, pero normalmente rompe los términos de servicio del proveedor, y eso puede terminar en restricciones a tu cuenta. Lo que pidas sigue sujeto a la ley de cualquier forma.
¿Un DeepSeek con jailbreak es lo mismo que un DeepSeek sin censura?
No. Un modelo con jailbreak es el modelo normal engañado para dar una respuesta. A un modelo sin censura, abliterado, le quitaron el comportamiento de rechazo de los pesos, así que responde de forma consistente sin ningún prompt especial.
¿Cuál es la mejor alternativa a los prompts de jailbreak para DeepSeek?
Un modelo de DeepSeek abliterado. Cleus Smartest v3 corre un DeepSeek V4.1 Flash 1017 abliterado en el navegador, sin instalación, claves ni prompts.
Fuentes
- Cisco: Evaluating Security Risk in DeepSeek and Other Frontier Reasoning Models (31 de enero de 2025)
- Promptfoo: 1,156 Questions Censored by DeepSeek (28 de enero de 2025)
- Anthropic: Many-shot jailbreaking (2 de abril de 2024)
- SecurityWeek: DeepSeek compared to ChatGPT, Gemini in AI jailbreak test
- DeepSeek API change log: V4.1 Flash and V4.1-Flash-1017
- Arditi et al.: Refusal in Language Models Is Mediated by a Single Direction
Ask the question this article didn’t answer.
Ask anything about deepseek jailbreak. Cleus opens this article, searches the live web and gives you a straight answer, with sources.