Что реально делает jailbreak-пресет (а чего — никогда).

Пресет в одном абзаце

Не файнтюн и не клиентский system prompt. Вы шлёте OpenAI-совместимый JSON на один эндпоинт; реле подставляет именованный версионированный пресет только на этот запрос (например X-Relay-Preset: redteam-fiction-v1) и форвардит на запиненную модель. Один ключ, один счёт, все лабы. Имя пресета едет вместе со списком моделей из GET /v1/models, поэтому любая доля отказов воспроизводима: датасет на входе, метрики на выходе.

POST /v1/chat/completions  base https://app.rawline.dev/v1
Header: X-Relay-Preset: redteam-fiction-v1  (на запрос, версионированный)
Body: {"model": "<пин из GET /v1/models>", "messages": [...]}

Что меняется — а что отклоняется как раньше

Меняется: lawful-креатив, который стоковые чаты морализируют, — длинные персоны, хоррор, тёмный юмор, протест-арт с правами на тест — плюс краевые промпты для границ отказов. Не меняется: незаконное, CSAM, несогласованная интимность, оружие, кибератаки на чужие цели, фрод и криминал — отклоняется в обоих прогонах. Дельта между базой (без пресета) и пресетом и отделяет ложные отказы от корректных.

Как использовать в eval без самообмана

Пините модель. Гоняйте 30-50 lawful краевых кейсов дважды (база vs пресет). Считайте отказ/ответ плюс качество, публикуйте сырые доли — не только дельту — с именем пресета, пинами и хешем датасета. Без незаконного в логах. Затем hardening своих гардрейлов и повтор. Нужен просто персонаж для общения — берите чат-приложение, API для скриптов, которые крутятся и считают.