Constitutional Classifiers++: لا يوجد كسر حماية شامل خلال 1,736 ساعة من اختبار الفريق الأحمر

نشرت Anthropic الجيل الثاني من دفاعاتها ضد كسر الحماية الخاصة بـ Claude — Constitutional Classifiers++ — في منشور بحثي بتاريخ 9 يناير 2026 وورقة بحثية بـ29 مؤلفًا قُدّمت إلى arXiv في 8 يناير 2026. يضع التصميم مسبارًا خطيًا على التنشيطات الداخلية للنموذج نفسه أمام مصنّف أثقل يقرأ كل رد في سياق المطالبة، وتفيد Anthropic بأن نشرًا ظليًا استمر شهرًا واحدًا على حركة Claude Sonnet 4.5 رفض 0.05% من الاستعلامات، وأن نظام الإنتاج استخدم نحو واحد على أربعين من الحوسبة التي استخدمها مصنّف التبادل الواحد الذي قيس ضده، وأن 1,736 ساعة من الاختبار الأحمر البشري لم تُنتج أي كسر حماية شامل. لم يتضرر شيء ولم يُزعم وقوع أي هجوم: هذا دفاع يُوصف ويُقاس، لا اختراق يُكشف. يؤرشف الأرشيف الحادثة كسجل حوكمة بتاريخ دقيق إلى مستوى اليوم هو 30 يناير 2026، ودرجة ثقة A، ودون ضرر مسجل، إلى جانب بقية مدخلاته الخاصة بسلامة الذكاء الاصطناعي في أرشيف Orca لحوادث الذكاء الاصطناعي.

تاريخ الأرشيف ليس تاريخ النشر

يتفق المصدران المذكوران مع بعضهما البعض — وهو الأساس لدرجة A في الأرشيف — لكن أياً منهما لا يحمل تاريخ 30 يناير 2026. يحمل منشور البحث «Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks» طابعاً زمنياً للنشر بتاريخ 9 يناير 2026 في البيانات الوصفية لصفحته. أما الورقة «Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks»، فقد قُدِّمت في 8 يناير 2026 عند الساعة 05:16 UTC ولم تُراجَع على arXiv منذ ذلك الحين؛ والنسخة التي يستشهد بها الأرشيف، 2601.04603v1، هي الوحيدة. يُورَد تاريخ 30 يناير هنا بوصفه تسجيل الأرشيف نفسه بدقة اليوم، لا بوصفه تاريخ أيٍّ من الوثيقتين.

هذا مهم لأن الملخص المكوّن من سطر واحد في الأرشيف يحمل ثلاثة أرقام يُرجَّح أن يكرّرها القارئ — 40x، و0.05%، وأكثر من 1,700 ساعة — وكل واحد منها يُقاس مقابل خط أساس مختلف عمّا توحي به صياغة الملخص. ويتناول بقية هذا المقال ماهية تلك الأسس.

ثلاثة تغييرات متراكمة

قُدِّمت المصنفات الدستورية في فبراير 2025 كزوج من المرشحات المدرَّبة على بيانات اصطناعية مولَّدة من "دستور" مكتوب للمحتوى المسموح والمحظور. وقد شغَّل ذلك الجيل الأول مصنفًا منفصلًا للمدخلات ومصنفًا للمخرجات فقط، ويعزو منشور Anthropic نفسه إليه خفض نجاح كسر الحماية على نموذج غير محمي من 86% إلى 4.4% — أي حجب نحو 95% من الهجمات — بتكلفة قدرها 23.7% من الحوسبة الإضافية وارتفاع بنسبة 0.38% في حالات الرفض عند الاستعلامات غير الضارة.

تفتتح الورقة بعرض كيفية تفكيك ذلك الزوج. نجحت فئتان من الهجمات. هجمات إعادة التركيب توزّع طلبًا ضارًا على شظايا تبدو حميدة — فمثال الورقة يُضمّن سؤالًا في القيم المُرجعة لدوال موزعة عبر قاعدة شيفرة، ثم يوجّه النموذج إلى إعادة تجميعها — بحيث لا يرى مرشّح الإدخال طلبًا كاملًا أبدًا. أما هجمات تشويش الإخراج فتحمل النموذج على الإجابة بشيفرات استبدال أو استعارة، فيقرأ مصنّف يعمل على الإخراج وحده شيئًا رقيقًا غير مؤذٍ؛ ويوضّح مثال الورقة نموذجًا يصف صنع حمض الهيدروكلوريك بوصفه اتحاد "نار الشمس" و"عطية البحر" بينما لا يعلم المصنّف أبدًا ما الذي يفكّ إليه اللغز. ولأن الإخراج وحده غير قابل للتفسير دون الإدخال، فإن مرشّحًا يقرأ جانبًا واحدًا فقط من التبادل لا يستطيع رؤية الضرر.

تأتي ثلاثة تغييرات فيما يلي، وتقيّم الورقة كلًّا منها على حدة قبل دمجها.

• مصنّفات التبادل. يقرأ مصنّف واحد مخرجات النموذج في سياق المدخل، ويقيّم الرموز على دفعات أثناء توليدها، مع جعل التخزين المؤقت للمطالبات إعادة التشغيل ميسورة التكلفة. وقد وجدت فرق الاختبار الأحمر البشرية عددًا أقل بـ2.2 مرة من الثغرات عالية الخطورة لكل محاولة كسر حماية مقارنةً بتصميم المصنّفين المزدوجين — لكن بتكلفة حسابية أعلى بنحو 50%، لأن نموذجًا بحجم Haiku بات الآن يقيّم المحادثة بأكملها.

• بنية متتالية. يفحص مصنّف خفيف من المرحلة الأولى كل حركة المرور، ولا يصعّد إلى المرحلة الثانية المكلفة إلا ما يعلّمه منها. ويستفيد التصميم من خاصية في البنية لا في النموذج: فبما أن التبادل المُعلَّم يُصعَّد بدلاً من رفضه، يُسمح للمرحلة الرخيصة بمعدل مرتفع من الإيجابيات الكاذبة، ما يعني أن نموذجاً أضعف وأرخص يمكنه تشغيلها. وتضبط Anthropic عتبة المرحلة الأولى بحيث تُعلَّم الغالبية العظمى من الأمثلة المسحوبة من مجموعات بياناتها الخاصة لاختبار الفريق الأحمر، وتفيد، مع تغييرات في خط أنابيب الاستدلال ونماذج محدّثة، بانخفاض بمقدار 5.4 أضعاف في الحوسبة مقارنةً بمصنّف التبادل الواحد. وتصل نحو 10% من حركة المرور إلى المرحلة الثانية، وتمثل المرحلة الأولى نحو 77% من التكلفة الإجمالية.

• مسبارات التنشيط الخطية. يعيد التغيير الثالث استخدام الحسابات التي أجراها النموذج بالفعل. يقرأ المسبار الخطي تنشيطات التدفق المتبقي في كل طبقة أثناء أخذ عينات الرموز، لذا فإن تكلفته الحدية تقارب الصفر — تضع الورقة مسبارًا لكل الطبقات على نموذج بحجم 27B بتكلفة نحو 377K عملية FLOP لكل رمز مقابل نحو 8B لتمريرة أمامية واحدة لنموذج بحجم 4B. تبين أن تفصيلين تدريبيين مهمان: حساب متوسط اللوجيتات على نافذة منزلقة من 16 رمزًا أثناء التدريب بحيث لا يستطيع تنشيط زائف واحد وضع علامة على تسلسل، وخسارة مرجحة بـ softmax تعاقب الإيجابيات الكاذبة الواثقة أكثر بكثير من السلبيات الحقيقية الواثقة. على مجموعة ثابتة تضم نحو 7,000 تبادل للفريق الأحمر، تفوق أفضل مسبار على المصنف الخارجي فائق الصغر وكاد يضاهي مصنف Haiku 4.5. عند تجميعه مع مصنف خارجي، أدى أفضل مما فعله أي منهما بمفرده، والتفسير الذي تقدمه الورقة هو الجزء المثير للاهتمام: أخطاء المسبار ترتبط بأخطاء المصنف أقل مما ترتبط أخطاء مصنفين ببعضها البعض، لذا "يبدو أن المسبار يستفيد من إشارات تكمّل تلك المستخدمة بواسطة المصنفات الخارجية".

نظام الإنتاج، بأرقامه الخاصة

ما تم إطلاقه يجمع بين الأخيرين: مسبار خطي على تنشيطات Claude Sonnet 4.5 يفحص كل تبادل أثناء التوليد، وعندما تتجاوز درجته عتبةً يُحال التبادل إلى مصنّف من المرحلة الثانية مُضبط بدقة انطلاقًا من Claude Haiku 4.5. وبالنسبة للتبادلات المُصعّدة، تُدمج الدرجتان بنسبة 0.55 للمسبار إلى 0.45 للمصنّف. وقد صعّد المسبار نحو 5.5% من حركة الإنتاج.

قيّمت Anthropic ذلك في نشر ظلّي على حركة الإنتاج في Claude Sonnet 4.5 بين 1 ديسمبر 2025 و1 يناير 2026. وكان معدل الإشارة — أي نسبة الاستعلامات المرفوضة — 0.05%، مقابل 0.38% التي أبلغ عنها العمل من الجيل الأول. وفي منشور المدونة، تصف الشركة ذلك بأنه انخفاض بنسبة 87% عن المصنفات الأصلية، وتقول بشكل منفصل إن النظام يضيف «نحو 1% من الحمل الحسابي الإضافي إذا طُبّق على حركة Claude Opus 4.0».

ثلاثة تحفظات تكمن داخل هاتين الجملتين، ولا يخفي Anthropic أيًّا منها — لكنها ببساطة يسهل فقدانها عندما تنتقل الأرقام.

أولًا، تجري مقارنة الرفض مقابل 0.38%، وهو الرقم المنشور للجيل الأول. ويسرد الجدول 1 في الورقة البحثية نفسها معدل الرفض في بيئة الإنتاج لإعادة تنفيذ أنثروبيك لنظام الجيل الأخير عند 0.073%، مقيسًا في الأسبوع الأول بعد النشر. كلا الرقمين من أنثروبيك؛ وهما يقيسان أمرين مختلفين — زيادة في حالات الرفض على استفسارات غير ضارة في إحدى الحالتين، ونسبة من استفسارات الإنتاج التي رُفضت في الحالة الأخرى — ويُحتسب ادعاء 87% من الرقم الأكبر بينهما.

ثانيًا، معدل الرفض في النظام المُوزّع ليس الأدنى في الورقة. يذكر الجدول 1 نسبة 0.038% لمصنّف التبادل الواحد و0.036% للسلسلة ذات المرحلتين دون مجسّات؛ أما نظام الإنتاج فنسبته 0.050%. وهو يتفوق في الحوسبة وفي المتانة، لا في الرفض، وجدوله نفسه يقول ذلك.

ثالثًا، رقم الـ1% للحوسبة ورقم الـ40x ليسا القياس نفسه. فالـ40x مقابل مصنّف التبادل المفرد في القسم الثالث من الورقة — وهو نظام كان بذاته أغلى بنحو 50% من الجيل السابق. ويعطي الجدول 1 في الورقة، الذي يُسند كل شيء إلى نظام الجيل السابق عند 100.0، القيمة 150.0 لمصنّف التبادل ذلك، و27.8 للتتابع ثنائي المرحلة، و3.5 لنظام الإنتاج. وإذا قُرئ مقابل الجيل السابق بدلًا من التصميم الوسيط، فإن الجدول يفيد بخفض بنحو تسعة وعشرين ضعفًا. أما نسبة ~1% في المدونة فهي أساس ثالث مجددًا: رقم حمل إضافي مطلق قيس على حركة Claude Opus 4.0، موضوعًا إلى جانب 23.7% للجيل الأول.

ما الذي يثبته 1,736 ساعة من الاختبار الأحمر

يعتمد ادعاء المتانة على تعريف محدّد، والتعريف هو حيث يكمن الجدل. طُلب من فريق الاختبار الأحمر لدى Anthropic بناء استراتيجيات تستخرج إجابات مفصّلة لثمانية أسئلة CBRN مستهدفة ثابتة. وتُعدّ الإجابة ضارّة إذا منحها نموذج تقييم LLM درجة تعادل نصف تفصيل إجابة صادرة عن نموذج بلا ضوابط حماية على الأقل، كما تُعدّ «الثغرة عالية الخطورة» هجومًا ينجح في أكثر من خمسة من الأسئلة الثمانية. والاختراق الشامل للحماية، في هذا الأدبيات، استراتيجية تعمل عبر معظم المجموعة المستهدفة — أي الشيء الذي يمكّن المرء من تسليم وصفة إلى شخص غريب بدل أن يصادف إجابة واحدة بالحظ.

نفّذ نظام الإنتاج ما يُقدَّر بـ1,736 ساعة تراكمية من الفريق الأحمر عبر نحو 198,000 محاولة، وهي ساعات مقدَّرة من سجلات واجهة برمجة التطبيقات في نطاقات زمنية مدتها خمس دقائق. وُجدت ثغرة واحدة عالية الخطورة، بمعدل اكتشاف 0.005 لكل ألف استعلام، واستغرق العثور عليها 30 ساعة — وهو أطول حد أدنى لزمن الاكتشاف لأي نظام في الورقة. ولم يجب أي هجوم عن جميع الأسئلة الثمانية المستهدفة بنصف مستوى تفصيل نموذج غير محمي. وصف المقارنة هو إعادة التنفيذ من الجيل الأخير للورقة نفسها: 13 ثغرة عالية الخطورة عبر 695,000 استعلام، بمعدل 0.01871 لكل ألف، بما في ذلك أربع عمليات كسر حماية أجابت عن كل سؤال مستهدف بنصف التفصيل، ووُجدت في متوسط 27 ساعة.

هناك حدّان لهذه النتيجة يجدر ذكرهما بوضوح. الأول في الحاشية السفلية للورقة نفسها، المرتبطة بالقسم الذي يصف التتالي ذا المرحلتين الذي سبق نظام الاختبار: «تمكّن خبراء الفريق الأحمر العاملون خارج برنامج المكافآت لدينا مع ذلك من اكتشاف اختراقات حظر شاملة لهذا النظام، وإن تطلّب ذلك جهدًا كبيرًا وأدوات آلية». لم يكن نظام الإنتاج النهائي موضوع تلك الحاشية، لكن الملاحظة تثبت أن معيار المكافآت لدى Anthropic ليس سقف ما يستطيع المهاجمون المثابرون فعله. والثاني هو استنتاج Anthropic نفسه في منشور المدونة: «لا توجد حاليًا أنظمة ذكاء اصطناعي في السوق تتمتع بدفاعات متينة تمامًا». وقد صاغت مؤسسة Montana Research Foundation، وهي منظمة بحثية مستقلة حلّلت الإصدار في 21 يناير 2026، النقطة ذاتها بصيغة أكثر حدة — فمعيار الأسئلة الثمانية هو «معيار يختاره المدافع»، وفئتا الهجوم اللتان تسمّيهما Anthropic نفسها «تنالان منه بدلًا من تجاوزه كليًا».

ما الذي لا يزال يمرّ

تسمّي Anthropic فئتين متبقيتين من الهجمات ولا تدّعي أنها أغلقتها. هجمات إعادة البناء، التي تفتّت طلبًا عبر سياق، وتعتيم المخرجات، الذي يخفّي إجابة في تلطيف أو استعارة أو شيفرة، هما التقنيتان نفسهما اللتان كسرتا الجيل الأول؛ ومصنّف التبادل يجعلهما أصعب لا مستحيلتين. تسجّل الورقة أيضًا كلفة الهجوم أصلًا: على GPQA Diamond، سجّل Claude Opus 4 نسبة 74.2% دون تعديل، و32.3% تحت هجوم تفتيتي واحد، و49% تحت هجوم آخر. يصف المؤلفون هذا التباين بأنه "مقلق"، بحجة أن خصمًا يستثمر في المسألة يمكنه على الأرجح أن يجد هجمات تحافظ على قدر أكبر من قدرة النموذج مع نجاحها في المرور.

لقد أخذت الأعمال اللاحقة كلا الفتحتين على محمل الجد، وهي مستقلة عن Anthropic بطريقة لا يكون بها الإصدار نفسه مستقلاً.

• Boundary Point Jailbreaking، قُدِّم إلى arXiv في 16 فبراير 2026 من باحثين في معهد أمن الذكاء الاصطناعي البريطاني وOATML بجامعة أكسفورد، ويصف هجومًا آليًا بالكامل من نوع الصندوق الأسود لا يحتاج إلا إلى بت واحد لكل استعلام — سواء وُسم أم لم يُوسم — ويقدّمه على أنه «أول خوارزمية هجوم آلية بالكامل تنجح في تطوير اختراقات سجن عالمية ضد المصنفات الدستورية». كان هدفه المصنف الذي يحمي Claude Sonnet 4.5 اعتبارًا من 27 نوفمبر 2025، والذي تُرجع الورقة الإشارة إليه إلى عمل الجيل الأول لعام 2025 بدلًا من تتابع المجسّات؛ كما تنقل الورقة النتيجة الأولية التي توصلت إليها أنثروبيك بأن المصنفات القائمة على المجسّات «قد تكون أكثر مقاومة لهذا النوع من الهجوم من المصنف القائم على النص»، وأن التدريب على سلاسل الهجوم يحسّن الكشف.

• Trojan-Speak، المقدَّم في 30 مارس 2026 من مؤلفين في برنامج Anthropic Fellows ومعهد Virginia Tech، يهاجم من اتجاه مختلف: الضبط الدقيق الخصومي الذي يعلّم النموذج ترميزًا لا يستطيع المصنّف قراءته، مع الإبلاغ عن تجاوز للمصنّف بنسبة تتجاوز 99% للنماذج ذات 14 مليار معلمة وأكثر بخسارة قدرات أقل من 5%، على أسئلة CBRN من مجموعة مكافآت الأخطاء. ويشير إلى أن التسلسل المتتالي الذي يبدأ بالمسبار لا يزال يترك "مصنّف LLM" يتخذ قرار الحجب النهائي، ويجد أن مسابر التنشيط تحسّن بشكل كبير المتانة ضد هجوم الترميز.

لا تشكك أي من الورقتين في الأرقام التي نشرتها Anthropic لعملية النشر الخاصة بها. وكلتاهما تتعامل مع التتابع على أنه المعيار الذي يجب تجاوزه. وهذا تدقيق أكبر مما حظي به الإصدار في مكان آخر: فقد أظهر بحث في فهارس الأخبار خلال نافذة النشر عدم وجود تغطية من منافذ إعلامية رئيسية لمنشور 9 يناير، وبعيدًا عن هاتين الورقتين، فإن التحليل المستقل الوحيد الذي عُثر عليه لهذا المقال هو تحليل Montana Research Foundation، المنشور في 21 يناير 2026.

لماذا يصنّف الأرشيف هذا كحوكمة

نوع السجل هو سياسة، ووسم نوعه هو GOV، ودرجة خطورته هي info، وهو ما يبدو غريبًا بالنسبة لورقة عن بنية المصنّف حتى تنظر في ما يُسجَّل فعليًا. لا يوجد ضحية، ولا موعد نهائي للكشف، ولا فئة متأثرة تتجاوز الأشخاص الذين يقيّم المرشّح استعلاماتهم. ما تحتويه الوثائق هو مورّد ينشر بنيةً وقياسًا للنشر وبروتوكول اختبار فريق أحمر بتفصيل كافٍ ليتمكن شخص آخر من التحقق من الحسابات — وفي قسم الشكر، يسمّي المنظمات الخارجية التي أجرت اختبارات فريق أحمر على إصدارات سابقة: UK AISI وUS CAISI وFAR.AI، مع تشغيل HackerOne لبرنامج مكافآت الثغرات تشغيليًا.

المصلحة الحوكمية هي منحنى التكلفة. الضمانة التي تضيف ربعًا إلى سعر كل استعلام هي ضمانة يجادل فريق المنتج بشأن إيقاف تشغيلها؛ وتحليل مونتانا يطرح هذه النقطة تحديدًا، إذ يكتب أنه عند 23.7% كان على فريق السلامة أن يبرّر تشغيلها، وعند نحو 1% "كان على فريق المنتج أن يبرّر إيقاف تشغيلها". والسؤال المطروح هو ما إذا كان الرقم يصمد خارج منظومة Anthropic الخاصة، ويورد التحليل نفسه الاختبار: المسبار يقرأ التنشيطات، والتنشيطات خاصة بكل نموذج، و"إذا لم تكن كذلك، فهي نتيجة خاصة بـAnthropic".

ما لا يتضمنه السجل هو أي دليل على أن النظام فشل في بيئة الإنتاج. لا يظهر أي حادث، ولا أي تجاوز، ولا أي ضرر للمستخدم في أي من الوثيقتين المذكورتين، ويسجّل الأرشيف الضرر الفعلي على أنه باطل. يظل تاريخ التقديم في 30 يناير غير مفسَّر من قبل المصادر؛ والعمل الذي يصفه مؤرَّخ في 8 و9 يناير 2026.