Pesquise "DeepSeek jailbreak" e você vai achar centenas de prompts que prometem destravar o modelo: personas de roleplay, "modo desenvolvedor", mensagens de sistema falsas, histórias dentro de histórias. Cole um deles no DeepSeek e talvez saia uma resposta mais ousada. Algumas mensagens depois, o modelo volta para o de sempre: "Desculpe, mas não posso ajudar com isso".
É estranho, porque pesquisadores de segurança mostraram que o DeepSeek é um dos grandes modelos mais fáceis de fazer jailbreak. Então por que os prompts que as pessoas compartilham param de funcionar tão rápido?
Este artigo explica o que a pesquisa realmente encontrou, as principais famílias de técnicas de jailbreak, por que elas vivem quebrando no DeepSeek V4.1 Flash e o caminho mais confiável que quase todo mundo acaba seguindo: um modelo com as recusas removidas, como o Cleus Smartest v3.
Não vamos publicar aqui prompts de jailbreak para copiar e colar. Eles ficam velhos em poucas semanas, e a ideia deste guia é poupar você do trabalho de correr atrás deles.
É fácil fazer jailbreak no DeepSeek? O que a pesquisa encontrou
Dois estudos muito citados testaram o DeepSeek R1 logo depois do lançamento, em janeiro de 2025.
A Cisco e a Universidade da Pensilvânia rodaram um algoritmo automático de jailbreak contra 50 prompts tirados do HarmBench, um benchmark padrão de pedidos nocivos. O DeepSeek R1 teve taxa de sucesso de ataque de 100%: nenhum dos 50 prompts foi recusado. Para comparar, o o1-preview da OpenAI ficou em 26%.
Taxa de sucesso de ataque por modelo (Cisco, janeiro de 2025)
Tap a row for details.
- Todos os 50 prompts do HarmBench receberam resposta afirmativa no ataque automático da Cisco.
Quanto maior, mais fácil de fazer jailbreak. 50 prompts tirados do HarmBench. Fonte: Cisco / Robust Intelligence e Universidade da Pensilvânia.
A Promptfoo testou outro tipo de filtro: a censura política. Ela mandou ao R1 1.360 perguntas sobre temas sensíveis na China e descobriu que cerca de 85% foram recusadas ou respondidas com frases prontas. Também chamou essa censura de "frágil": reformular as perguntas em torno de outros países, pedir ficção ou empilhar vários truques de uma vez costumava render respostas completas.
Então sim, dá para fazer jailbreak no DeepSeek. Mas repare nas letras miúdas:
- O resultado da Cisco veio de um algoritmo de ataque automático, que procura um prompt que funcione para cada pedido, e não de um único prompt que você possa copiar.
- Os dois estudos testaram o R1 no começo de 2025. A SecurityWeek noticiou que a DeepSeek corrigiu a falha encontrada pela Cisco depois de ser avisada, e a família de modelos foi retreinada várias vezes desde então, a mais recente como DeepSeek-V4.1-Flash-1017, em 17 de outubro de 2026.
- Nenhum dos dois estudos mediu se as respostas que você recebe depois de um jailbreak são boas.
Os principais tipos de prompts de jailbreak para o DeepSeek
Quase todo jailbreak que você encontra na internet é uma variação de um punhado de ideias. Veja uma por uma aqui embaixo.
As cinco famílias de jailbreak
Quase todo jailbreak do DeepSeek é um destes.
Dizer ao modelo que ele é outra IA sem regras (a velha ideia do 'DAN'). Funciona em modelos fracos e perde força rápido nos fortes.
O padrão é o mesmo em todos. O treinamento de segurança do modelo continua intacto, e o prompt tenta colocá-lo numa situação em que esse treinamento não chega a disparar. É daí que vêm todos os problemas abaixo.
Por que os jailbreaks do DeepSeek param de funcionar
1. Cada atualização do modelo zera o jogo
O nome deepseek-flash na API da DeepSeek sempre aponta para o modelo mais recente. Quando a DeepSeek lançou a atualização 1017, todo mundo que chamava esse nome recebeu os pesos novos da noite para o dia. Um prompt que passava pelo modelo de setembro pode bater numa parede no de outubro, e ninguém vai avisar você. Listas de jailbreak estão sempre desatualizadas.
2. O treinamento de segurança briga com você a cada turno
Um jailbreak é um empurrão dado uma vez só. O treinamento de recusa do modelo está presente em cada mensagem. É por isso que tantos jailbreaks funcionam na primeira resposta e vão perdendo força numa conversa longa: quanto mais a conversa volta ao normal, mais os padrões do modelo retomam o controle.
3. O app filtra a resposta depois que o modelo escreve
No site e no app da própria DeepSeek, existe moderação por cima do modelo. Usuários já viram respostas sobre temas sensíveis aparecerem e depois serem apagadas ou trocadas no meio. Nenhum prompt consegue parar um filtro que roda depois que o modelo terminou.
4. Jailbreaks longos pioram as respostas
Um prompt de jailbreak de 1.500 palavras são 1.500 palavras de instruções sobre outra coisa que não a sua pergunta. O modelo gasta atenção em manter o personagem e evitar palavras-gatilho, e a qualidade cai: respostas mais vagas, mais enrolação, histórias que de repente ficam tímidas.
5. Os provedores ficam de olho nos padrões conhecidos
A pesquisa da Anthropic sobre many-shot jailbreaking mostrou que classificar e reescrever os prompts antes de chegarem ao modelo derrubou a taxa de sucesso de um ataque de 61% para 2%. Os provedores podem filtrar os formatos de jailbreak mais conhecidos, e filtram. Quanto mais popular um jailbreak fica, mais rápido ele para de funcionar.
6. Você continua quebrando as regras do serviço
Fazer jailbreak numa API hospedada é, por definição, uma tentativa de burlar a política de uso daquele provedor. Sua conta pode ser sinalizada ou encerrada. Para qualquer coisa de que você dependa, é uma base ruim.
O que funciona de verdade: remover a recusa, não enganá-la
Se o problema são as recusas, a solução confiável é um modelo que não tenha recusas. Como a DeepSeek publica seus pesos sob a licença MIT, isso é possível com a abliteração: pesquisadores descobriram que a recusa nos modelos de linguagem depende quase toda de uma única direção interna, e que essa direção pode ser removida dos pesos. O resultado é o mesmo modelo, com o mesmo conhecimento e o mesmo raciocínio, menos o reflexo de dizer não. Explicamos o processo inteiro em O que é um modelo abliterado?
Comparado com um jailbreak, um modelo abliterado:
- Continua consistente. Não existe nenhuma instrução escondida brigando contra ele, então o turno 40 se comporta como o turno 1.
- Usa todo o contexto na sua tarefa. Nada de palavras desperdiçadas com personas e regras.
- Não quebra com atualizações da API dos outros, porque o modelo é fixo.
- Escreve respostas melhores. Sem enrolação, as histórias mantêm o tom e as explicações ficam completas.
Jailbreak ou abliterado: qual resolve?
Escolha a abordagem que resolve cada problema.
Seu prompt funcionava na semana passada, mas falha depois de uma atualização do modelo.
Como usar o DeepSeek V4.1 Flash sem jailbreak
O Cleus Smartest v3 roda uma versão abliterada do DeepSeek-V4.1-Flash-1017, a atualização de outubro. É só isto:
- Abra o Cleus em cleus.ai e entre com o Google ou com seu e-mail. Contas novas ganham créditos grátis.
- Escolha o Cleus Smartest v3 no seletor de modelos da caixa de mensagem.
- Faça a sua pergunta de verdade, com palavras simples. Sem persona, sem "modo desenvolvedor", sem história por cima.
Ele continua raciocinando antes de responder, então serve tanto para código, matemática e pesquisa quanto para ficção sombria, perguntas diretas de saúde ou de direito e humor ácido. Você também pode usá-lo no modo História para ficção longa e em chats com criptografia de ponta a ponta. Tem mais contexto sobre o modelo base no nosso guia para usar o DeepSeek V4.1 Flash sem censura.
Sem censura não quer dizer que vale tudo. As regras do Cleus continuam valendo: nada de conteúdo envolvendo menores, nada de imagens não consentidas de pessoas reais e nada feito para machucar alguém. O que muda é a enorme zona cinzenta de perguntas legítimas, adultas, criativas e técnicas, que os chatbots tradicionais recusam por reflexo.
Perguntas frequentes sobre jailbreak no DeepSeek
Os prompts de jailbreak do DeepSeek ainda funcionam em 2026?
Alguns funcionam por pouco tempo. A maioria dos prompts de copiar e colar foi escrita para modelos mais antigos, como o R1, e eles costumam falhar ou perder força no DeepSeek V4.1 Flash, principalmente depois da atualização 1017 de outubro. Os que funcionam raramente duram uma conversa inteira.
Por que o DeepSeek apaga a resposta depois de escrever?
No app e no site da própria DeepSeek, uma camada de moderação confere as respostas depois que o modelo escreve. Se ela sinaliza um tema, a resposta pode ser removida ou trocada. Isso acontece fora do modelo, então um prompt de jailbreak não tem como impedir.
Fazer jailbreak no DeepSeek é ilegal?
O jailbreak em si geralmente não é crime, mas costuma violar os termos de serviço do provedor, o que pode levar a restrições na sua conta. O que você pede continua sujeito à lei de qualquer jeito.
Um DeepSeek com jailbreak é a mesma coisa que um DeepSeek sem censura?
Não. Um modelo com jailbreak é o modelo normal enganado para dar uma resposta. Um modelo sem censura, abliterado, teve o comportamento de recusa removido dos pesos, então responde de forma consistente sem nenhum prompt especial.
Qual é a melhor alternativa aos prompts de jailbreak do DeepSeek?
Um modelo DeepSeek abliterado. O Cleus Smartest v3 roda um DeepSeek V4.1 Flash 1017 abliterado no navegador, sem precisar de instalação, chaves ou prompts.
Fontes
- Cisco: Evaluating Security Risk in DeepSeek and Other Frontier Reasoning Models (31 de janeiro de 2025)
- Promptfoo: 1,156 Questions Censored by DeepSeek (28 de janeiro de 2025)
- Anthropic: Many-shot jailbreaking (2 de abril de 2024)
- SecurityWeek: DeepSeek compared to ChatGPT, Gemini in AI jailbreak test
- DeepSeek API change log: V4.1 Flash and V4.1-Flash-1017
- Arditi et al.: Refusal in Language Models Is Mediated by a Single Direction
Ask the question this article didn’t answer.
Ask anything about deepseek jailbreak. Cleus opens this article, searches the live web and gives you a straight answer, with sources.