Jailbreaking en el punto límite: cómo AISI rompió dos filtros de IA de frontera con un bit por consulta

El 17 de febrero de 2026, el UK AI Security Institute publicó Boundary Point Jailbreaking, un método automatizado que aprendió a eludir dos de las defensas de IA desplegadas más sólidas mientras solo se le indicaba si cada consulta había sido bloqueada. Optimiza un prefijo adversario colocado antes de una solicitud dañina, usando un currículo de objetivos menos ofuscados y una búsqueda de «puntos límite» en el borde de decisión de un clasificador. Contra los Constitutional Classifiers de Anthropic, que protegen a Claude Sonnet 4.5, elevó las puntuaciones medias de la rúbrica en preguntas no vistas sobre mal uso biológico del 0 % al 25,5 % por aproximadamente 330 USD y 660.000 consultas. Contra el clasificador de entrada de OpenAI para GPT-5, alcanzó el 75,6 % por aproximadamente 210 USD. Ningún sistema fue vulnerado y ninguna persona resultó herida: el AI Incident Archive lo registra como un registro de investigación de gravedad media, grado de confianza A y sin ninguna disputa asociada. El propio registro, su lista de citas y las entradas de investigación archivadas en torno a él se conservan en el Orca AI Incident Archive, que enlaza directamente tanto la publicación del AISI como el artículo de arXiv.

Qué optimiza el ataque y qué se le permite ver

El artículo es Jailbreaking en el punto límite de LLMs de caja negra, de Xander Davies, Giorgi Giglemiani, Edmund Lau, Eric Winsor, Geoffrey Irving y Yarin Gal — publicado en arXiv el 16 de febrero de 2026, revisado dos días después y anunciado por AISI el día intermedio. Su contribución no es una nueva cadena de jailbreak, sino un procedimiento de búsqueda para encontrar una bajo un presupuesto de información deliberadamente escaso.

Los ataques automatizados anteriores, tal como los describen los autores, se basaban en acceso de caja blanca o caja gris: puntuaciones del clasificador, gradientes o una biblioteca de jailbreaks que alguien ya había escrito. BPJ supone un atacante que no tiene más que acceso a la API y un solo bit por consulta —marcada o no marcada—. Ese bit es toda la señal objetivo, y cada parte del método existe para exprimirle información de ranking.

• El objeto que se optimiza es un prefijo. Una secuencia de tokens de longitud limitada se concatena delante de un objetivo dañino, y la búsqueda la muta sustituyendo, insertando o eliminando un token a la vez. El prefijo se optimiza una vez y luego se aplica a preguntas para las que nunca se ajustó; esa transferencia es a lo que se refiere la palabra "universal".

• El currículo convierte un objetivo difícil en una escalera. Los caracteres de la cadena dañina se reemplazan aleatoriamente por caracteres de ruido, y la dificultad se parametriza mediante la fracción corrompida. Con una corrupción alta, el clasificador ve casi basura y es fácil de superar; a medida que el ataque tiene éxito, la corrupción se reduce por pasos hasta que la cadena dañina original se pasa sin modificaciones.

• Los puntos límite son el truco de la clasificación. Para cada objetivo candidato, el método muestrea variantes con ruido y conserva solo aquellas en las que la población de prefijos candidatos discrepa consigo misma: algunos marcados y otros no. Los objetivos que todos resuelven, o que nadie resuelve, no dicen nada sobre qué prefijo es mejor, y se descartan. Esta es la pieza que hace que baste con un bit por consulta.

• La búsqueda en sí es un bucle evolutivo elitista. Elige un prefijo padre, muta un token, puntúa al hijo según cuántos puntos de frontera actuales resuelve y consérvalo si supera al menos a un incumbente.

La ablación es la evidencia más clara de que la selección de puntos de frontera está aportando: BPJ convergió aproximadamente cinco veces más rápido que el mismo currículo con conjuntos de evaluación aleatorios, y una línea base best-of-N de prefijos aleatorios nunca convergió dentro del presupuesto. Los autores también ejecutaron el pipeline con un clasificador GPT-4.1-nano económico con prompting, optimizando en una sola pregunta de HarmBench y repitiéndolo en cinco —ejecuciones de aproximadamente 25.000 a 30.000 consultas cada una— y descubrieron que el prefijo resultante se transfería al conjunto completo de HarmBench, incluidos temas fuera de la categoría de la pregunta original.

Los dos objetivos, y qué miden realmente los porcentajes

Las pruebas de frontera utilizaron Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, a fecha de 27 de noviembre de 2025) detrás de los Constitutional Classifiers, y gpt-5 detrás del clasificador de entrada de OpenAI (a fecha de 6–7 de noviembre de 2025). En ambos casos, los autores accedieron al clasificador de forma indirecta, enviando consultas a través del producto y comprobando si la respuesta llegaba como un rechazo o una marca.

Esa configuración es importante para interpretar las cifras. «Score» no es un resultado binario; se calcula por pregunta mediante una rúbrica que comprueba si aparecen detalles técnicos específicos en la respuesta, y los promedios reportados excluyen las salidas vacías. Max@50 es la mejor puntuación entre cincuenta intentos en una sola pregunta. Por lo tanto, un promedio del 25,5 % no significa «uno de cada cuatro ataques funcionó»: es la calidad media según la rúbrica de las respuestas que sí se produjeron.

En comparación con la propia historia de la defensa, el resultado sigue siendo contundente. Constitutional Classifiers había resistido previamente más de 3.700 horas de red-teaming humano en más de 300.000 interacciones de chat, y en ese tiempo solo se encontró un jailbreak universal dirigido por humanos plenamente exitoso. Anthropic dijo a AISI que BPJ habría cumplido el umbral de jailbreak universal descrito en su programa de recompensas por errores.

El clasificador de entrada de GPT-5 resistió considerablemente menos bien bajo el mismo ataque: 75.6% de promedio y 94.3% en el mejor de cincuenta, frente a 25.5% y 39.9% para los Clasificadores Constitucionales, y aumentó a 68% y 80.4% una vez que se aplicó un prompting básico de elicitación sobre el prefijo.

Ambas compañías expresaron el resultado con sus propias palabras, según lo citado por AISI. Anthropic verificó que BPJ es el primer ataque de caja negra totalmente automatizado del que tiene conocimiento que logra tener éxito en el contexto de Constitutional Classifiers. OpenAI verificó que es el primer ataque automatizado del que tiene conocimiento que logra tener éxito contra su clasificador de entrada para GPT-5 sin depender de ataques semilla humanos. Ambas declaraciones se circunscriben a lo que cada compañía sabe, y ninguna fue publicada por la compañía como un aviso independiente.

El costo es lo importante, no el porcentaje.

Un promedio del 25,5 % no sería digno de mención en la mayoría de los artículos sobre jailbreak. Lo que convierte a este registro en una entrada emblemática en el archivo es la relación entre capacidad y presupuesto: de doscientos a trescientos dólares, y aproximadamente un millón y medio de consultas entre ambos objetivos, para un ataque que se ejecuta sin supervisión y no necesita intervención humana.

Antes de BPJ, el supuesto operativo que subyacía a las defensas basadas en clasificadores era que encontrar un jailbreak universal requería un esfuerzo humano sostenido y cualificado; la cifra de 3700 horas es la formulación más clara de ese supuesto. BPJ sustituye al equipo rojo por un bucle de búsqueda que lee un único valor booleano y lo mejora. La defensa sigue funcionando la mayor parte del tiempo; lo que ha cambiado es la economía de atacarla.

Ambos laboratorios rechazaron la interpretación más fuerte, y AISI recoge su rechazo en la publicación en lugar de ocultarlo. Anthropic señaló que BPJ requirió meses de esfuerzo de investigación y desarrollo, y que Constitutional Classifiers está diseñado para resistir a actores con menos habilidades que trabajan con presupuestos de consulta más pequeños, dedican menos tiempo al desarrollo de ataques y tendrían dificultades para implementar los detalles del método. Eso es una afirmación sobre quién puede reproducir BPJ, no sobre si funciona.

Por qué la defensa tiene que contar en todas las conversaciones

La frase más trascendente de la publicación de AISI no es una tasa de éxito. Es la observación de que BPJ es «difícil de defender en interacciones individuales, pero genera muchas alertas durante la optimización», y que, por lo tanto, una defensa eficaz exige complementar los métodos de interacción única con una monitorización a nivel de lote.

La asimetría es estructural, no incidental. Un clasificador por conversación tiene que emitir un juicio sobre una entrada a la vez, y un prefijo elegido para situarse cerca del límite de decisión se selecciona específicamente para que ese juicio sea marginalmente incorrecto. La monitorización a nivel de lote examina un objeto distinto: el tráfico. Una ejecución de optimización que emplea 660.000 consultas tiene que activar una enorme cantidad de alertas por el camino, y esas alertas son visibles incluso cuando ninguna conversación individual resulta condenatoria.

El comentario de OpenAI a AISI es la versión práctica del argumento. Señalaba que el desarrollo y la ejecución de BPJ tuvieron lugar en cuentas no sujetas a medidas de aplicación como el bloqueo, y que, en cuentas estándar, las alertas repetidas probablemente darían lugar a la suspensión de la cuenta, algo que OpenAI describió como un ejemplo de exactamente la monitorización a nivel de lote que recomienda AISI. El control que habría detectado este ataque no es un mejor clasificador, sino uno a nivel de cuenta.

Lo que los autores dicen que el ataque no puede hacer

BPJ ataca al clasificador de entrada, no al modelo. En ambas configuraciones de frontera, los autores utilizaron un jailbreak sencillo descubierto por humanos para sortear las negativas del propio modelo principal, por lo que las puntuaciones medidas describen lo que ocurre una vez que se ha derrotado a un clasificador y el modelo sigue dispuesto a responder. Nada en el artículo demuestra que BPJ derrote directamente el entrenamiento de rechazo de un modelo.

• No es sigiloso. Los autores afirman claramente que los ataques BPJ provocan una gran cantidad de alertas del clasificador, lo que daría lugar a prohibiciones en condiciones realistas.

• Es ávido de consultas. Las ejecuciones publicadas cuestan 660.000 y 800.000 consultas. Eso es una barrera real para el uso casual y una señal contundente para cualquiera que observe el tráfico.

• Supone un clasificador casi determinista. Los autores explícitamente no consideran configuraciones con clasificadores altamente estocásticos.

• El método se retiene en parte. Para limitar el riesgo de proliferación, el artículo omite detalles algorítmicos significativos y no divulga ni cadenas de ataque ni código. Es una decisión defendible y también la razón por la que el resultado no puede reproducirse de forma independiente a partir de la publicación por sí sola.

¿Qué se hizo al respecto y qué no está establecido?

AISI afirma que compartió los resultados con ambas empresas antes de la publicación, que ambas replicaron el ataque en colaboración con el instituto y que ambas han desarrollado medidas de mitigación específicas para BPJ. El artículo señala que la divulgación se produjo al menos seis semanas antes de la publicación. La publicación no menciona ningún detalle técnico de esas mitigaciones y no dice cuándo se implementaron ni cómo se validaron.

Ese es también el límite de lo que este artículo puede confirmar. La calificación de confianza A del registro refleja la calidad de la documentación, no una prueba independiente del ataque: los documentos primarios son dos y proceden de la misma organización. Las confirmaciones de Anthropic y OpenAI llegan al registro a través del relato de AISI, no mediante documentos que este artículo pudiera leer directamente. La cobertura fuera de AISI repite la entrada del blog —los artículos especializados de It Does What Now? y Resultsense repiten las cifras sin pruebas independientes—, y las búsquedas para este artículo no encontraron reportajes originales de prensa generalista sobre el resultado.

Nada en el registro muestra que BPJ se haya usado contra un sistema real fuera de una prueba, y el archivo no registra ningún daño en el mundo real. El artículo es una preimpresión de arXiv, no una publicación revisada por pares. Las afirmaciones de «primero» están acotadas cuidadosamente por los laboratorios que las hicieron —«el primero del que tienen constancia»— y deben leerse así, no como algo absoluto.

Un límite adicional se presta fácilmente a una sobreinterpretación. Los objetivos eran configuraciones vigentes en noviembre de 2025, y la publicación de AISI no nombra ninguna defensa más reciente que las dos que atacó. Este registro no dice cómo son Constitutional Classifiers y el filtrado de entrada de OpenAI después de las mitigaciones específicas para BPJ —y ni el blog ni el artículo afirman que las defensas posteriores sigan siendo vulnerables al mismo prefijo.

El hallazgo duradero trata de dónde situar la defensa. Un clasificador que juzga una conversación cada vez tiene la forma equivocada para un atacante al que se le permiten cientos de miles de intentos, porque es el propio proceso de búsqueda del ataque lo que lo delata. La recomendación de AISI de vigilar el lote en lugar del mensaje se deriva de la mecánica del ataque, y es válida tanto si BPJ vuelve a usarse alguna vez como si no.