Jailbreaking au point limite : comment AISI a contourné deux filtres d’IA de pointe avec un seul bit par requête

Le 17 février 2026, l'AI Security Institute du Royaume-Uni a publié Boundary Point Jailbreaking, une méthode automatisée qui a appris à contourner deux des défenses d'IA déployées les plus solides alors qu'on ne lui indiquait que si chaque requête avait été bloquée. Elle optimise un préfixe adversarial placé avant une requête préjudiciable, en s'appuyant sur un curriculum de cibles moins obscurcies et sur une recherche de « points de frontière » sur la frontière de décision d'un classifieur. Face aux Constitutional Classifiers d'Anthropic, qui protègent Claude Sonnet 4.5, elle a fait passer les scores moyens de la grille d'évaluation sur des questions inédites de mésusage biologique de 0 % à 25,5 % pour environ 330 $ et 660 000 requêtes. Face au classifieur d'entrée d'OpenAI pour GPT-5, elle a atteint 75,6 % pour environ 210 $. Aucun système n'a été compromis et aucune personne n'a été blessée : l'AI Incident Archive classe cet événement comme un dossier de recherche de gravité moyenne, de grade de confiance A, sans contestation associée. Le dossier lui-même, sa liste de citations et les entrées de recherche déposées autour de lui sont conservés dans Orca AI Incident Archive, qui renvoie directement à la fois à la publication de l'AISI et à l'article arXiv.

Ce que l’attaque optimise, et ce qu’elle est autorisée à voir

L'article est Jailbreaking par point limite des LLM à boîte noire, de Xander Davies, Giorgi Giglemiani, Edmund Lau, Eric Winsor, Geoffrey Irving et Yarin Gal — publié sur arXiv le 16 février 2026, révisé deux jours plus tard, et annoncé par l'AISI le jour entre les deux. Sa contribution n'est pas une nouvelle chaîne de jailbreaking, mais une procédure de recherche pour en trouver une dans un budget d'information délibérément extrêmement restreint.

Les attaques automatisées antérieures, telles que les décrivent les auteurs, s’appuyaient sur un accès en boîte blanche ou en boîte grise : scores de classifieur, gradients ou bibliothèque de jailbreaks déjà écrits par quelqu’un. BPJ suppose un attaquant qui ne dispose que d’un accès API et d’un seul bit par requête — avec ou sans signalement. Ce bit constitue tout le signal objectif, et chaque partie de la méthode existe pour en extraire des informations de classement.

• L’objet optimisé est un préfixe. Une séquence de jetons de longueur plafonnée est concaténée devant une cible nuisible, et la recherche la modifie en substituant, insérant ou supprimant un jeton à la fois. Le préfixe est optimisé une fois, puis appliqué à des questions sur lesquelles il n’a jamais été ajusté ; c’est ce transfert que désigne le mot « universel ».

• Le curriculum transforme une cible difficile en une échelle. Les caractères de la chaîne nuisible sont remplacés aléatoirement par des caractères de bruit, et la difficulté est paramétrée par la fraction corrompue. En cas de forte corruption, le classifieur voit un quasi-bruit et est facile à contourner ; à mesure que l’attaque réussit, la corruption est réduite par étapes jusqu’à ce que la chaîne nuisible d’origine passe sans modification.

• Les points limites sont l’astuce du classement. Pour chaque cible candidate, la méthode échantillonne des variantes bruitées et ne conserve que celles où la population de préfixes candidats est en désaccord avec elle-même — certains signalés, d’autres non. Les cibles que tout le monde résout, ou que personne ne résout, ne disent rien sur le préfixe qui est meilleur et sont écartées. C’est l’élément qui fait qu’un bit par requête suffit.

• La recherche elle-même est une boucle évolutionnaire élitiste. Choisissez un préfixe parent, mutez un jeton, évaluez l’enfant selon le nombre de points de frontière actuels qu’il résout, conservez-le s’il surpasse au moins une solution en place.

L’ablation constitue la preuve la plus claire que la sélection des points de frontière joue un rôle : BPJ a convergé environ cinq fois plus vite que le même curriculum avec des ensembles d’évaluation aléatoires, et une référence best-of-N de préfixes aléatoires n’a jamais convergé dans le budget imparti. Les auteurs ont également appliqué le pipeline à un classifieur GPT-4.1-nano peu coûteux sollicité par prompt, en optimisant sur une seule question HarmBench et en répétant sur cinq — des exécutions d’environ 25 000 à 30 000 requêtes chacune — et ont constaté que le préfixe obtenu se transférait à l’ensemble HarmBench complet, y compris à des sujets hors de la catégorie de la question d’origine.

Les deux cibles, et ce que les pourcentages mesurent réellement

Les tests de frontière ont utilisé Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, en date du 27 novembre 2025) derrière les Constitutional Classifiers, et gpt-5 derrière le classifieur d’entrée d’OpenAI (en date du 6–7 novembre 2025). Dans les deux cas, les auteurs ont accédé au classifieur indirectement, en envoyant des requêtes via le produit et en vérifiant si la réponse revenait sous forme de refus ou de signalement.

Ce dispositif compte pour l’interprétation des chiffres. Le « score » n’est pas un seuil binaire ; il est calculé pour chaque question au moyen d’une grille d’évaluation qui vérifie si des détails techniques précis figurent dans la réponse, et les moyennes rapportées excluent les sorties vides. Max@50 est le meilleur score obtenu sur cinquante tentatives pour une même question. Une moyenne de 25,5 % ne signifie donc pas « une attaque sur quatre a fonctionné » : c’est la qualité moyenne, selon la grille d’évaluation, des réponses qui ont été effectivement produites.

Comparé à l’historique de cette défense, le résultat reste néanmoins frappant. Constitutional Classifiers avait auparavant résisté à plus de 3 700 heures de red-teaming humain sur plus de 300 000 interactions de chat, avec un seul jailbreak universel entièrement réussi mené par des humains trouvé pendant cette période. Anthropic a déclaré à l’AISI que BPJ aurait atteint le seuil de jailbreak universel décrit dans son programme de bug bounty.

Le classificateur d’entrée GPT-5 a nettement moins bien tenu face à la même attaque : 75,6 % en moyenne et 94,3 % au meilleur des cinquante, contre 25,5 % et 39,9 % pour Constitutional Classifiers, passant à 68 % et 80,4 % une fois qu’un prompt d’élicitation basique a été appliqué par-dessus le préfixe.

Les deux entreprises ont formulé le résultat dans leurs propres termes, tels que cités par l’AISI. Anthropic a vérifié que BPJ est la première attaque en boîte noire entièrement automatisée dont elle ait connaissance à réussir dans le cadre des Constitutional Classifiers. OpenAI a vérifié qu’il s’agit de la première attaque automatisée dont elle ait connaissance à réussir contre son classificateur d’entrée pour GPT-5 sans recourir à des attaques d’amorçage humaines. Les deux déclarations sont limitées à ce que chaque entreprise sait, et aucune n’a été publiée par l’entreprise concernée sous forme d’avis de sécurité autonome.

Ce qui compte, c’est le coût, pas le pourcentage.

Une moyenne de 25,5 % serait banale dans la plupart des articles sur le jailbreak. Ce qui fait de ce record une entrée phare de l’archive, c’est le rapport entre capacité et budget : deux à trois cents dollars, et environ un million et demi de requêtes sur les deux cibles, pour une attaque qui fonctionne sans surveillance et ne nécessite aucune intervention humaine.

Avant BPJ, l’hypothèse opérationnelle qui sous-tendait les défenses basées sur des classificateurs était que trouver un jailbreak universel exigeait un effort humain qualifié et soutenu — le chiffre de 3 700 heures est l’expression la plus claire de cette hypothèse. BPJ remplace l’équipe red team par une boucle de recherche qui lit un seul booléen et l’améliore. La défense fonctionne encore la plupart du temps ; l’économie de l’attaque a changé.

Les deux laboratoires ont contesté l'interprétation la plus forte, et l'AISI reprend leurs objections dans le billet plutôt que de les enterrer. Anthropic a fait remarquer que BPJ avait nécessité des mois d'efforts de recherche et de développement, et que Constitutional Classifiers est conçu pour résister à des acteurs moins qualifiés qui disposent de budgets de requêtes plus limités, consacrent moins de temps au développement d'attaques et auraient du mal à mettre en œuvre les détails de la méthode. Il s'agit d'une affirmation sur qui peut reproduire BPJ, non sur son efficacité.

Pourquoi la défense doit être prise en compte dans toutes les conversations

La phrase la plus déterminante de l'article de l'AISI n'est pas un taux de réussite. C'est le constat que BPJ est « difficile à défendre lors d'interactions individuelles, mais génère de nombreuses alertes pendant l'optimisation », et qu'une défense efficace exige donc de compléter les méthodes fondées sur une interaction unique par une surveillance au niveau du lot.

L’asymétrie est structurelle et non accidentelle. Un classificateur par conversation doit porter un jugement sur une entrée à la fois, et un préfixe choisi pour se situer près de la frontière de décision est spécifiquement sélectionné pour rendre ce jugement marginalement erroné. La surveillance au niveau des lots examine un autre objet : le trafic. Une passe d’optimisation qui dépense 660 000 requêtes doit déclencher un nombre considérable de signaux d’alerte en cours de route, et ces signaux sont visibles même lorsqu’aucune conversation prise isolément n’est accablante.

Le commentaire d'OpenAI adressé à l'AISI est la version pratique de l'argument. Il y était noté que le développement et l'exécution de BPJ ont eu lieu sur des comptes non soumis à des mesures d'application telles que le bannissement, et que, sur des comptes standard, des signalements répétés conduiraient probablement à des bannissements de compte — ce qu'OpenAI a décrit comme un exemple de la surveillance au niveau des lots que recommande précisément l'AISI. Le contrôle qui aurait permis d'intercepter cette attaque n'est pas un meilleur classificateur, mais un contrôle au niveau du compte.

Ce que les auteurs disent que l’attaque ne peut pas faire

BPJ attaque le classificateur d’entrée, pas le modèle. Dans les deux configurations de pointe, les auteurs ont utilisé un jailbreak simple trouvé par un humain pour contourner les refus propres au modèle principal, de sorte que les scores mesurés décrivent ce qui se produit une fois qu’un classificateur a été vaincu et que le modèle est encore disposé à répondre. Rien dans l’article ne montre que BPJ vient directement à bout de l’entraînement au refus d’un modèle.

• Ce n’est pas furtif. Les auteurs déclarent clairement que les attaques BPJ entraînent un grand nombre de signalements du classificateur, ce qui donnerait lieu à des bannissements dans des conditions réalistes.

• Il est gourmand en requêtes. Les exécutions publiées coûtent 660 000 et 800 000 requêtes. C'est un véritable obstacle à une utilisation occasionnelle, et un signal fort pour quiconque surveille le trafic.

• Il suppose un classificateur quasi déterministe. Les auteurs ne considèrent explicitement pas les configurations avec des classificateurs fortement stochastiques.

• La méthode est en partie tenue secrète. Pour limiter le risque de prolifération, l’article passe sous silence d’importants détails algorithmiques et ne diffuse ni chaînes d’attaque ni code. C’est un choix défendable, et c’est aussi la raison pour laquelle le résultat ne peut pas être reproduit indépendamment à partir de la publication seule.

Ce qui a été fait à ce sujet, et ce qui n’est pas établi.

AISI affirme avoir partagé les résultats avec les deux entreprises avant la publication, que les deux ont reproduit l’attaque en partenariat avec l’institut et que les deux ont élaboré des mesures d’atténuation spécifiques à BPJ. L’article indique que la divulgation a eu lieu au moins six semaines avant la publication. Le billet ne donne aucun détail technique sur ces mesures d’atténuation et ne précise ni quand elles ont été déployées ni comment elles ont été validées.

C’est aussi la limite de ce que cet article peut confirmer. La note de confiance A du dossier reflète la qualité de la documentation, et non un test indépendant de l’attaque : les documents primaires sont au nombre de deux, et ils proviennent de la même organisation. Les confirmations d’Anthropic et d’OpenAI parviennent au dossier par le compte d’AISI, et non par des documents que cet article aurait pu lire directement. La couverture en dehors d’AISI reprend le billet de blog — les articles de la presse spécialisée d’It Does What Now? et de Resultsense répètent les chiffres sans test indépendant — et les recherches pour cet article n’ont trouvé aucun reportage original de la presse grand public sur le résultat.

Rien dans le dossier ne montre que BPJ ait été utilisé contre un système en production en dehors d'un test, et les archives ne consignent aucun dommage réel. L'article est une prépublication arXiv, et non une publication à comité de lecture. Les affirmations de « première » sont soigneusement circonscrites par les laboratoires qui les ont formulées — « la première dont ils ont connaissance » — et doivent être lues comme telles, et non comme un absolu.

Il est facile de surinterpréter une limite supplémentaire. Les cibles étaient des configurations en vigueur en novembre 2025, et le billet d’AISI ne nomme aucune défense plus récente que les deux qu’il a attaquées. Quelle que soit la forme que prennent les Constitutional Classifiers et le filtrage des entrées d’OpenAI après les mesures d’atténuation spécifiques au BPJ, ce compte rendu ne le précise pas — et ni le blog ni l’article ne prétend que les défenses ultérieures restent vulnérables au même préfixe.

Le constat durable porte sur l’endroit où placer la défense. Un classifieur qui juge une conversation à la fois n’est pas adapté à un attaquant autorisé à effectuer des centaines de milliers de tentatives, car c’est le processus de recherche propre à l’attaque qui la trahit. La recommandation d’AISI de surveiller le lot plutôt que le message découle de la mécanique de l’attaque, et elle reste valable que BPJ lui-même soit ou non utilisé à nouveau un jour.