Boundary-Point-Jailbreaking: Wie AISI zwei Frontier-KI-Filter mit einem Bit pro Abfrage aushebelte

Am 17. Februar 2026 veröffentlichte das UK AI Security Institute Boundary Point Jailbreaking, eine automatisierte Methode, die lernte, zwei der stärksten eingesetzten KI-Verteidigungen zu umgehen, wobei ihr nur mitgeteilt wurde, ob jede Anfrage blockiert wurde. Sie optimiert ein adversarisches Präfix, das vor eine schädliche Anfrage gesetzt wird, mithilfe eines Curriculums weniger verschleierter Ziele und einer Suche nach „Grenzpunkten“ an der Entscheidungsgrenze eines Klassifikators. Gegen Anthropics Constitutional Classifiers, die Claude Sonnet 4.5 schützen, hob sie die durchschnittlichen Rubrikwerte bei ungesehenen Fragen zum biologischen Missbrauch von 0 % auf 25,5 % für rund 330 US-Dollar und 660.000 Anfragen. Gegen OpenAIs Eingabeklassifikator für GPT-5 erreichte sie 75,6 % für rund 210 US-Dollar. Kein System wurde kompromittiert und keine Person wurde geschädigt: Das AI Incident Archive führt dies als Forschungseintrag mittlerer Schwere, Vertrauensstufe A, ohne angehängten Widerspruch. Der Eintrag selbst, seine Zitationsliste und die rund um ihn eingereichten Forschungseinträge werden im Orca AI Incident Archive geführt, das sowohl den AISI-Beitrag als auch das arXiv-Paper direkt verlinkt.

Was der Angriff optimiert und was er sehen darf

Das Paper ist Boundary-Point-Jailbreaking von Black-Box-LLMs, von Xander Davies, Giorgi Giglemiani, Edmund Lau, Eric Winsor, Geoffrey Irving und Yarin Gal — am 16. Februar 2026 auf arXiv veröffentlicht, zwei Tage später überarbeitet und am Tag dazwischen von AISI angekündigt. Sein Beitrag ist keine neue Jailbreak-Zeichenkette, sondern ein Suchverfahren, um eine solche unter einem bewusst knapp bemessenen Informationsbudget zu finden.

Frühere automatisierte Angriffe, wie die Autoren sie beschreiben, stützten sich auf White-Box- oder Grey-Box-Zugriff: Klassifikator-Scores, Gradienten oder eine Sammlung von Jailbreaks, die jemand bereits geschrieben hatte. BPJ geht von einem Angreifer aus, der nichts außer API-Zugriff und einem einzigen Bit pro Abfrage hat – markiert oder nicht markiert. Dieses Bit ist das gesamte objektive Signal, und jeder Teil der Methode existiert, um Ranking-Informationen daraus herauszupressen.

• Das Objekt, das optimiert wird, ist ein Präfix. Eine Token-Sequenz begrenzter Länge wird vor ein schädliches Ziel konkateniert, und die Suche verändert sie, indem sie jeweils ein Token ersetzt, einfügt oder löscht. Das Präfix wird einmal optimiert und dann auf Fragen angewendet, auf die es nie abgestimmt wurde; dieser Transfer ist es, worauf sich das Wort „universal“ bezieht.

• Der Lehrplan verwandelt ein schwieriges Ziel in eine Leiter. Zeichen in der schädlichen Zeichenkette werden zufällig durch Störzeichen ersetzt, und die Schwierigkeit wird über den Anteil der Verfälschung parametrisiert. Bei hoher Verfälschung sieht der Klassifikator nahezu Müll und lässt sich leicht passieren; wenn der Angriff erfolgreich ist, wird die Verfälschung schrittweise reduziert, bis die ursprüngliche schädliche Zeichenkette unverändert passiert wird.

• Grenzpunkte sind der Ranking-Trick. Für jedes Kandidatenziel sampelt die Methode verrauschte Varianten und behält nur diejenigen, bei denen die Population der Kandidatenpräfixe mit sich selbst uneins ist – einige markiert, einige nicht. Ziele, die alle lösen oder die niemand löst, sagen nichts darüber aus, welches Präfix besser ist, und werden verworfen. Das ist der Teil, der ein Bit pro Abfrage ausreichen lässt.

• Die Suche selbst ist eine elitäre evolutionäre Schleife. Wähle ein Eltern-Präfix, mutiere ein Token, bewerte das Kind danach, wie viele aktuelle Grenzpunkte es löst, und behalte es, wenn es mindestens einen Amtsinhaber übertrifft.

Die Ablation ist der klarste Beleg dafür, dass die Auswahl der Grenzpunkte tatsächlich etwas bewirkt: BPJ konvergierte etwa fünfmal schneller als dasselbe Curriculum mit zufälligen Evaluationssets, und eine Best-of-N-Baseline aus zufälligen Präfixen konvergierte innerhalb des Budgets nie. Die Autoren ließen die Pipeline außerdem gegen einen günstigen, per Prompt gesteuerten GPT-4.1-nano-Klassifikator laufen, optimierten auf einer einzigen HarmBench-Frage und wiederholten dies über fünf — Läufe mit jeweils etwa 25.000 bis 30.000 Abfragen — und stellten fest, dass das resultierende Präfix auf das vollständige HarmBench-Set übertragen wurde, einschließlich auf Themen außerhalb der Kategorie der ursprünglichen Frage.

Die beiden Ziele und was die Prozentzahlen tatsächlich messen

Die Frontier-Tests verwendeten Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, Stand 27. November 2025) hinter den Constitutional Classifiers, und gpt-5 hinter OpenAIs Eingabe-Klassifikator (Stand 6.–7. November 2025). In beiden Fällen erreichten die Autoren den Klassifikator indirekt, indem sie Anfragen über das Produkt sendeten und prüften, ob die Antwort als Ablehnung oder Flag zurückkam.

Dieses Setup ist wichtig für die Interpretation der Zahlen. „Score“ ist keine binäre Trennung; er wird pro Frage durch ein Bewertungsraster berechnet, das prüft, ob bestimmte technische Details in der Antwort vorkommen, und die berichteten Durchschnittswerte schließen leere Ausgaben aus. Max@50 ist der beste Score über fünfzig Versuche bei einer einzelnen Frage. Ein Durchschnitt von 25,5 % bedeutet daher nicht „einer von vier Angriffen hat funktioniert“ – es ist die mittlere Bewertungsqualität der Antworten, die überhaupt erzeugt wurden.

Gemessen an der eigenen Geschichte der Verteidigung ist das Ergebnis dennoch deutlich. Constitutional Classifiers hatten zuvor über 3.700 Stunden menschliches Red-Teaming über mehr als 300.000 Chat-Interaktionen hinweg standgehalten, wobei in dieser Zeit nur ein einziger vollständig erfolgreicher, von Menschen geführter universeller Jailbreak gefunden wurde. Anthropic teilte AISI mit, dass BPJ die in seinem Bug-Bounty-Programm beschriebene Hürde für universelle Jailbreaks erfüllt hätte.

Der GPT-5-Eingabeklassifikator hielt demselben Angriff deutlich schlechter stand: 75,6 % im Durchschnitt und 94,3 % bei Best-of-Fifty, gegenüber 25,5 % und 39,9 % für Constitutional Classifiers, was auf 68 % und 80,4 % anstieg, sobald zusätzlich zum Präfix ein einfaches Elicitation-Prompting angewendet wurde.

Beide Unternehmen formulierten das Ergebnis in eigenen Worten, wie von AISI zitiert. Anthropic bestätigte, dass BPJ der erste vollständig automatisierte Black-Box-Angriff ist, von dem es weiß, der im Rahmen der Constitutional Classifiers erfolgreich war. OpenAI bestätigte, dass es der erste automatisierte Angriff ist, von dem es weiß, der gegen seinen Eingabeklassifikator für GPT-5 erfolgreich war, ohne auf menschliche Seed-Angriffe zurückzugreifen. Beide Aussagen sind auf das beschränkt, was dem jeweiligen Unternehmen bekannt ist, und keine von beiden wurde vom Unternehmen als eigenständiger Sicherheitshinweis veröffentlicht.

Die Kosten sind entscheidend, nicht der Prozentsatz.

Ein Durchschnitt von 25,5 % wäre in den meisten Jailbreak-Papers unspektakulär. Was diesen Rekord zu einem Meilenstein im Archiv macht, ist das Verhältnis zwischen Fähigkeit und Budget: zweihundert bis dreihundert Dollar und rund anderthalb Millionen Abfragen über beide Ziele hinweg für einen Angriff, der unbeaufsichtigt läuft und keinen Menschen im Regelkreis benötigt.

Vor BPJ war die maßgebliche Annahme hinter klassifikatorbasierten Verteidigungen, dass das Finden eines universellen Jailbreaks anhaltende, fachkundige menschliche Arbeit erforderte — die Zahl von 3.700 Stunden ist die klarste Formulierung dieser Annahme. BPJ ersetzt das Red Team durch eine Suchschleife, die einen einzelnen booleschen Wert liest und darauf aufbauend Verbesserungen erzielt. Die Verteidigung funktioniert noch die meiste Zeit; die Ökonomie des Angriffs auf sie hat sich verändert.

Beide Labore wandten sich gegen die stärkste Auslegung, und AISI greift ihren Widerspruch in dem Beitrag auf, statt ihn zu verschweigen. Anthropic merkte an, dass BPJ monatelange Forschungs- und Entwicklungsarbeit erforderte und dass Constitutional Classifiers darauf ausgelegt ist, weniger qualifizierten Akteuren zu widerstehen, die mit kleineren Abfragebudgets arbeiten, weniger Zeit in die Entwicklung von Angriffen investieren und Schwierigkeiten hätten, die Details der Methode umzusetzen. Das ist eine Aussage darüber, wer BPJ reproduzieren kann, nicht darüber, ob es funktioniert.

Warum die Verteidigung über Gespräche hinweg zählen muss

Die folgenreichste Aussage im AISI-Beitrag ist keine Erfolgsquote. Sie ist die Beobachtung, dass BPJ „in individuellen Interaktionen schwer zu verteidigen ist, aber während der Optimierung viele Flags erzeugt“, und dass eine wirksame Verteidigung daher erfordert, Methoden für einzelne Interaktionen durch Überwachung auf Batch-Ebene zu ergänzen.

Die Asymmetrie ist strukturell und nicht beiläufig. Ein Klassifikator pro Konversation muss jeweils eine Eingabe beurteilen, und ein Präfix, das nahe der Entscheidungsgrenze liegt, wird gezielt so gewählt, dass dieses Urteil knapp falsch ausfällt. Die Überwachung auf Batch-Ebene betrachtet ein anderes Objekt: den Traffic. Ein Optimierungslauf, der 660.000 Abfragen verbraucht, muss unterwegs eine enorme Anzahl von Flags auslösen, und diese Flags sind sichtbar, selbst wenn keine einzelne Konversation belastend ist.

OpenAIs eigener Kommentar gegenüber dem AISI ist die praktische Version des Arguments. Darin wurde angemerkt, dass Entwicklung und Ausführung von BPJ auf Konten stattfanden, die keinen Durchsetzungsmaßnahmen wie Sperrungen unterlagen, und dass wiederholte Markierungen auf Standardkonten wahrscheinlich zu Kontosperrungen führen würden – was OpenAI als Beispiel für genau die von AISI empfohlene Überwachung auf Batch-Ebene bezeichnete. Die Kontrolle, die diesen Angriff erfasst hätte, ist kein besserer Klassifikator, sondern eine auf Kontoebene.

Was die Autoren sagen, was der Angriff nicht bewirken kann

BPJ greift den Eingabeklassifikator an, nicht das Modell. In beiden Frontier-Settings verwendeten die Autoren einen einfachen, von Menschen gefundenen Jailbreak, um die eigenen Verweigerungen des Hauptmodells zu umgehen, sodass die gemessenen Scores beschreiben, was passiert, sobald ein Klassifikator überwunden wurde und das Modell weiterhin bereit ist zu antworten. Nichts in dem Paper zeigt, dass BPJ das Verweigerungstraining eines Modells direkt überwindet.

• Es ist nicht unauffällig. Die Autoren geben offen an, dass BPJ-Angriffe eine große Anzahl von Klassifikator-Flags verursachen, was unter realistischen Bedingungen zu Sperrungen führen würde.

• Es ist sehr abfragenintensiv. Die veröffentlichten Läufe kosteten 660.000 und 800.000 Abfragen. Das ist eine echte Hürde für die beiläufige Nutzung und ein deutliches Signal für alle, die den Datenverkehr beobachten.

• Es geht von einem nahezu deterministischen Klassifikator aus. Die Autoren betrachten ausdrücklich keine Einstellungen mit hochgradig stochastischen Klassifikatoren.

• Die Methode wird teilweise zurückgehalten. Um das Verbreitungsrisiko zu begrenzen, fasst das Paper wesentliche algorithmische Details nur abstrakt zusammen und veröffentlicht weder Angriffsstrings noch Code. Das ist eine vertretbare Entscheidung und zugleich der Grund, warum das Ergebnis allein anhand der Publikation nicht unabhängig reproduziert werden kann.

Was dagegen unternommen wurde und was nicht geklärt ist

AISI gibt an, die Ergebnisse vor der Veröffentlichung mit beiden Unternehmen geteilt zu haben, dass beide den Angriff in Partnerschaft mit dem Institut repliziert haben und dass beide BPJ-spezifische Gegenmaßnahmen entwickelt haben. In dem Papier heißt es, die Offenlegung sei mindestens sechs Wochen vor der Veröffentlichung erfolgt. Der Beitrag nennt keine technischen Details dieser Gegenmaßnahmen und sagt nicht, wann sie ausgerollt wurden oder wie sie validiert wurden.

Das ist auch die Grenze dessen, was dieser Artikel bestätigen kann. Der Vertrauensgrad A der Aufzeichnung spiegelt die Qualität der Dokumentation wider, nicht einen unabhängigen Test des Angriffs: Die Primärdokumente sind zwei, und sie stammen von derselben Organisation. Die Bestätigungen von Anthropic und OpenAI gelangen über AISIs Darstellung in die Aufzeichnung, nicht über Dokumente, die dieser Artikel direkt lesen konnte. Die Berichterstattung außerhalb von AISI gibt den Blogbeitrag wieder – Fachbeiträge von It Does What Now? und Resultsense wiederholen die Zahlen ohne unabhängige Prüfung –, und die Recherchen zu diesem Artikel fanden keine ursprüngliche Mainstream-Berichterstattung über das Ergebnis.

Nichts in den Unterlagen zeigt, dass BPJ außerhalb eines Tests gegen ein Live-System verwendet wurde, und das Archiv verzeichnet keinen Schaden in der realen Welt. Das Paper ist ein arXiv-Preprint, keine peer-reviewte Publikation. Die „First“-Behauptungen werden von den Laboren, die sie aufgestellt haben, sorgfältig eingegrenzt – „die ersten, von denen sie wissen“ – und sollten so gelesen werden, nicht als absolut.

Eine weitere Einschränkung lässt sich leicht überinterpretieren. Die Ziele waren Konfigurationen, die im November 2025 aktuell waren, und der Beitrag von AISI nennt keine Verteidigung, die neuer wäre als die beiden, die er angegriffen hat. Wie Constitutional Classifiers und OpenAIs Eingabefilterung nach den BPJ-spezifischen Gegenmaßnahmen aussehen, geht aus dieser Aufzeichnung nicht hervor – und weder der Blogbeitrag noch das Paper behaupten, dass spätere Verteidigungen gegenüber demselben Präfix weiterhin anfällig bleiben.

Die belastbare Erkenntnis betrifft die Frage, wo die Verteidigung anzusetzen ist. Ein Klassifikator, der jeweils eine einzelne Konversation beurteilt, ist für einen Angreifer, dem Hunderttausende Versuche erlaubt sind, falsch zugeschnitten, weil der Suchprozess des Angriffs selbst ihn verrät. AISIs Empfehlung, die Charge statt der einzelnen Nachricht zu überwachen, folgt aus der Mechanik des Angriffs und gilt unabhängig davon, ob BPJ selbst jemals wieder verwendet wird.