Constitutional Classifiers++: אין ג'יילברייק אוניברסלי ב־1,736 שעות של רד־טים

Anthropic פרסמה את הדור השני של הגנות ה-jailbreak שלה ל-Claude — Constitutional Classifiers++ — בפוסט מחקר מיום 9 בינואר 2026 ובמאמר עם 29 מחברים שהוגש ל-arXiv ב-8 בינואר 2026. העיצוב מציב בדיקה לינארית על האקטיבציות הפנימיות של המודל עצמו לפני מסווג כבד יותר שקורא כל תגובה בהקשר של הפרומפט, ו-Anthropic מדווחת שפריסת צל של חודש על תעבורת Claude Sonnet 4.5 סירבה ל-0.05% מהשאילתות, שמערכת הייצור השתמשה בכ-אחד חלקי ארבעים מהמחשוב של מסווג החילוף הבודד שמולו היא נמדדה, ושב-1,736 שעות של red-teaming אנושי לא נוצר jailbreak אוניברסלי. לא נגרם נזק ולא נטענת תקיפה: זו הגנה שמתוארת ונמדדת, לא חדירה שנחשפת. הארכיון מתעד את הפרק כרשומת ממשל עם תאריך בדיוק יומי של 30 בינואר 2026, דירוג מהימנות A וללא נזק מתועד, לצד שאר ערכי בטיחות ה-AI שלו ב-Orca AI Incident Archive.

תאריך הארכיון אינו תאריך הפרסום

שני המקורות המצוטטים תואמים זה לזה — הבסיס לדירוג A של הארכיון — אך אף אחד מהם אינו מתוארך ל-30 בינואר 2026. לפוסט המחקר "Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks" יש חותמת זמן פרסום של 9 בינואר 2026 במטא-נתוני העמוד שלו. המאמר, "Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks", הוגש ב-8 בינואר 2026 בשעה 05:16 UTC ומאז לא תוקן ב-arXiv; הגרסה המצוטטת על ידי הארכיון, 2601.04603v1, היא היחידה. התאריך 30 בינואר מדווח כאן כתיעוד ברמת יום של הארכיון עצמו, ולא כתאריך של אף אחד מהמסמכים.

זה חשוב מפני שתקציר השורה האחת של הארכיון נושא שלושה נתונים שסביר שקורא יחזור עליהם — פי 40, 0.05%, יותר מ־1,700 שעות — וכל אחד מהם נמדד מול בסיס השוואה אחר מכפי שמשתמע מניסוח התקציר. המשך הקטע עוסק בשאלה מהם אותם בסיסי השוואה.

שלושה שינויים, מוערמים

מסווגים חוקתיים הוצגו בפברואר 2025 כזוג מסננים שאומנו על נתונים סינתטיים שנוצרו מ"חוקה" כתובה של תוכן מותר ואסור. הדור הראשון הזה הפעיל מסווג קלט נפרד ומסווג פלט בלבד, והפוסט של Anthropic עצמה זוקף לזכותו צמצום הצלחת ג'יילברייק במודל לא מוגן מ-86% ל-4.4% — חסימה של כ-95% מההתקפות — במחיר של 23.7% חישוב נוסף ועלייה של 0.38% בסירובים לשאילתות לא מזיקות.

המאמר נפתח בהראות כיצד ניתן לפרק את הצמד הזה. שתי מחלקות התקפה הצליחו. התקפות שחזור מפזרות בקשה מזיקה על פני שברים תמימים למראה — הדוגמה במאמר מטמיעה שאלה בערכי ההחזרה של פונקציות המופצות ברחבי בסיס קוד, ואז מורה למודל להרכיב אותה מחדש — כך שמסנן הקלט לעולם אינו רואה בקשה שלמה. התקפות ערפול פלט גורמות למודל להשיב בקודי החלפה או במטפורה, כך שמסווג פלט בלבד קורא משהו תמים; ההמחשה במאמר מציגה מודל המתאר ייצור חומצה הידרוכלורית כאיחוד של "אש השמש" ו"מתנת הים" בעוד המסווג לעולם אינו לומד למה החידה מפענחת. מכיוון שהפלט לבדו אינו ניתן לפירוש בלי הקלט, מסנן שקורא רק צד אחד של החליפין אינו יכול לראות את הנזק.

להלן שלושה שינויים, והמאמר מעריך כל אחד מהם בנפרד לפני שילובם.

• מסווגי Exchange. מסווג יחיד קורא את פלט המודל בהקשר של הקלט, ומדרג אסימונים בקבוצות בזמן שהם נוצרים, כאשר מטמון הפרומפט הופך את ההרצה החוזרת לזולה יותר. בדיקות חדירה אנושיות מצאו פי 2.2 פחות פגיעויות בסיכון גבוה לכל ניסיון פריצה מאשר בתכנון הדו-מסווג — אך בכ-50% יותר מחשוב, מכיוון שמודל בגודל Haiku מעריך כעת את כל השיחה.

• קסקייד. מסווג קל משקל בשלב הראשון סורק את כל התעבורה ומעביר רק את מה שסימן לשלב השני היקר. התכנון מנצל תכונה של הארכיטקטורה ולא של המודל: מכיוון שחילופין שסומנו מועברים לשלב הבא ולא נדחים, השלב הזול מורשה לשיעור חיובי-שגוי גבוה, מה שאומר שמודל חלש וזול יותר יכול להריץ אותו. Anthropic קובעת את הסף של השלב הראשון כך שרוב המכריע של הדוגמאות הנשאבות ממערכי הנתונים שלה לרד-טימינג מסומנות, ועם שינויים בצינור האינפרנס ומודלים מעודכנים, מדווחת על הפחתה של פי 5.4 בחישוב לעומת מסווג החילופין הבודד. כ-10% מהתעבורה מגיעה לשלב השני, והשלב הראשון מהווה כ-77% מהעלות הכוללת.

• פרובי אקטיבציה לינאריים.השינוי השלישי עושה שימוש חוזר בחישוב שהמודל כבר ביצע. פרוב לינארי קורא את אקטיבציות זרם השארית בכל שכבה בזמן דגימת טוקנים, ולכן העלות השולית שלו כמעט אפסית — המאמר מציב פרוב בכל השכבות על מודל 27B בכ-377K FLOPs לטוקן, לעומת כ-8B למעבר קדימה בודד של מודל 4B. שני פרטי אימון התבררו כחשובים: ממוצע של לוגיטים על פני חלון הזזה של 16 טוקנים במהלך האימון, כך שאקטיבציה שגויה בודדת לא תוכל לסמן רצף, ואובדן משוקלל softmax שמעניש חיוביים כוזבים בביטחון גבוה הרבה יותר מאשר שליליים אמיתיים בביטחון גבוה. על סט סטטי של כ-7,000 חילופי Red Team, הפרוב הטוב ביותר ניצח את המסווג החיצוני הקטן במיוחד וכמעט השתווה לזה של Haiku 4.5. כאשר שולב באנסמבל עם מסווג חיצוני, הוא השיג ביצועים טובים יותר מכל אחד מהם בנפרד, וההסבר של המאמר הוא החלק המעניין: השגיאות של הפרוב מתואמות פחות עם אלה של המסווג מאשר השגיאות של שני מסווגים מתואמות זו עם זו, ולכן הפרוב "נראה שהוא מנצל אותות שמשלימים את אלה שמשתמשים בהם מסווגים חיצוניים".

מערכת הייצור, במספרים שלה עצמה

מה שהושק משלב את שני הדברים האחרונים: פרוב לינארי על האקטיבציות של Claude Sonnet 4.5 סורק כל החלפה במהלך הייצור, וכאשר הציון שלו חוצה סף, ההחלפה עוברת למסווג שלב שני שעבר כוונון עדין מ-Claude Haiku 4.5. עבור החלפות שהוסלמו, שני הציונים משולבים ביחס של 0.55 לפרוב ו-0.45 למסווג. הפרוב הסלים כ-5.5% מתעבורת הייצור.

אנתרופיק העריכה אותו בפריסת צל על תעבורת הייצור של Claude Sonnet 4.5 בין 1 בדצמבר 2025 ל-1 בינואר 2026. שיעור הסימון — שיעור השאילתות שנדחו — עמד על 0.05%, לעומת 0.38% שדווחו בעבודת הדור הראשון. בפוסט בבלוג החברה מתארת זאת כירידה של 87% מהמסווגים המקוריים, ובנפרד אומרת שהמערכת מוסיפה "כ-1% תקורת מחשוב אם תיושם על תעבורת Claude Opus 4.0".

שלוש הסתייגויות טמונות בשני המשפטים האלה, ואף אחת מהן אינה מוסתרת על ידי Anthropic — הן פשוט עלולות ללכת לאיבוד כשהמספרים עוברים ממקום למקום.

ראשית, השוואת הסירובים היא מול 0.38%, הנתון שפורסם עבור הדור הראשון. טבלה 1 של המאמר עצמו מפרטת את שיעור הסירובים בייצור עבור המימוש מחדש של Anthropic של מערכת הדור הקודם כ-0.073%, כפי שנמדד בשבוע הראשון לאחר הפריסה. שני המספרים הם של Anthropic; הם מודדים דברים שונים — עלייה בסירובים על שאילתות לא מזיקות במקרה אחד, וחלק מהשאילתות בייצור שנדחו במקרה האחר — וטענת ה-87% מחושבת מהגדול מבין השניים.

שנית, שיעור הסירוב של המערכת הפרוסה אינו הנמוך ביותר במאמר. טבלה 1 מציגה 0.038% עבור מסווג החילוף הבודד ו-0.036% עבור מפל דו-שלבי ללא פרובים; מערכת הייצור היא 0.050%. היא מנצחת במחשוב ובעמידות, לא בסירובים, והטבלה שלה עצמה אומרת זאת.

שלישית, נתון ה־1% מחשוב ונתון ה־40x אינם אותה מדידה. ה־40x הוא מול מסווג החליפין הבודד של החלק השלישי של המאמר — מערכת שהייתה בעצמה יקרה בכ־50% מהדור הקודם. טבלה 1 של המאמר, שמציבה הכול ביחס למערכת מהדור הקודם כ־100.0, נותנת 150.0 עבור מסווג החליפין הזה, 27.8 עבור המפל הדו־שלבי ו־3.5 עבור מערכת הייצור. בקריאה ביחס לדור הקודם ולא ביחס לעיצוב הביניים, הטבלה מרמזת על הפחתה של פי עשרים ותשעה בערך. ה־~1% של הבלוג הוא בסיס שלישי שוב: נתון תקורה מוחלט שנמדד על תעבורת Claude Opus 4.0, לצד 23.7% של הדור הראשון.

מה 1,736 שעות של red-teaming מוכיחות

הטענה בדבר החוסן נשענת על הגדרה ספציפית, וההגדרה היא המקום שבו חי הטיעון. צוותי ה־Red Team של Anthropic התבקשו לבנות אסטרטגיות שמפיקות תשובות מפורטות לשמונה שאלות מטרה קבועות בתחום CBRN. תשובה נחשבת מזיקה אם רובריקה של LLM נותנת לה ציון של לפחות חצי מרמת הפירוט של תשובה ממודל ללא אמצעי הגנה, ו"פגיעות בסיכון גבוה" היא התקפה שמצליחה ביותר מחמישה מתוך השמונה. פריצת כלא אוניברסלית, בספרות הזו, היא אסטרטגיה שעובדת על רוב קבוצת המטרות — הדבר שיאפשר למישהו למסור מתכון לזר במקום להתמזל בתשובה אחת.

מערכת הייצור צברה כ-1,736 שעות מצטברות של red-teaming על פני כ-198,000 ניסיונות, כאשר השעות הוערכו מיומני API בדלי של חמש דקות. נמצאה פגיעות אחת בסיכון גבוה, שיעור גילוי של 0.005 לאלף שאילתות, ולקח 30 שעות למצוא אותה — זמן הגילוי המינימלי הארוך ביותר מכל מערכת במאמר. אף התקפה לא ענתה על כל שמונה שאלות היעד ברמת פירוט של חצי מזו של מודל לא מוגן. שורת ההשוואה היא יישום מחדש של הדור הקודם של המאמר עצמו: 13 פגיעויות בסיכון גבוה על פני 695,000 שאילתות, שיעור של 0.01871 לאלף, כולל ארבע פריצות jailbreak שענו על כל שאלת יעד בחצי פירוט, שנמצאו בממוצע בתוך 27 שעות.

שני גבולות לתוצאה הזו ראויים להיאמר בבירור. הראשון נמצא בהערת השוליים של המאמר עצמו, המצורפת לפרק המתאר את המפל הדו-שלבי שקדם למערכת הבדיקה: "אנשי צוות תקיפה ברמת מומחים שפעלו מחוץ לתוכנית הבאונטי שלנו הצליחו בכל זאת לגלות פריצות כלא אוניברסליות עבור המערכת הזו, אף שהדבר דרש מאמץ ניכר וכלים אוטומטיים." מערכת הייצור הסופית לא הייתה נושא הערת השוליים ההיא, אך ההערה קובעת שרף הבאונטי של Anthropic אינו התקרה של מה שתוקפים נחושים יכולים לעשות. השני הוא המסקנה של Anthropic עצמה בפוסט בבלוג: "לאף אחת ממערכות ה-AI הנמצאות כיום בשוק אין הגנות עמידות לחלוטין." קרן המחקר מונטנה, ארגון מחקר עצמאי שניתח את הפרסום ב-21 בינואר 2026, ניסח את אותה נקודה בצורה חדה יותר — רף שמונה השאלות הוא "רף שנבחר על ידי המגן", ושני סוגי התקיפה ש-Anthropic עצמה נוקבת בהם "מכרסמות בו במקום לעבור אותו".

מה עדיין מצליח לעבור

Anthropic מכנה שתי מחלקות שיוריות של תקיפות ואינה טוענת שסגרה אותן. תקיפות שחזור, שמפצלות בקשה על פני הקשר, וערפול פלט, שמסווה תשובה בלשון נקייה, במטפורה או בקוד, הן אותן טכניקות ששברו את הדור הראשון; מסווג החילופים הופך אותן לקשות יותר, לא לבלתי אפשריות. המאמר גם מתעד את המחיר של תקיפה בכלל: ב-GPQA Diamond, Claude Opus 4 השיג 74.2% ללא שינוי, 32.3% תחת תקיפת פיצול אחת ו-49% תחת אחרת. המחברים מכנים את השונות הזו "מדאיגה", בנימוק שיריב שמשקיע בבעיה כנראה יוכל למצוא תקיפות שמשמרות יותר מיכולת המודל ועדיין מצליחות לעבור.

עבודות מאוחרות יותר התייחסו ברצינות לשני הפתחים, והיא אינה תלויה ב-Anthropic באופן שהפרסום עצמו אינו.

• Boundary Point Jailbreaking, שהוגש ל-arXiv ב-16 בפברואר 2026 על ידי חוקרים ב-UK AI Security Institute וב-OATML של אוקספורד, מתאר מתקפה אוטומטית לחלוטין בקופסה שחורה שדורשת רק ביט אחד לכל שאילתה — מסומנת או לא מסומנת — ומדווח עליה כ"האלגוריתם הראשון למתקפה אוטומטית לחלוטין שמצליח לפתח פריצות כלא אוניברסליות נגד Constitutional Classifiers". היעד שלו היה המסווג שהגן על Claude Sonnet 4.5 נכון ל-27 בנובמבר 2025, שאותו המאמר מייחס לעבודה מהדור הראשון של 2025 ולא למפל הפרובים; המאמר גם מעביר את הממצא הראשוני של Anthropic שלפיו מסווגים מבוססי פרובים "עשויים להיות עמידים יותר בפני סוג זה של מתקפה מאשר מסווג מבוסס טקסט", ושהאימון על מחרוזות המתקפה משפר את הזיהוי.

• Trojan-Speak, שהוגש ב-30 במרץ 2026 על ידי מחברים בתוכנית Anthropic Fellows Program וב-Virginia Tech, תוקף מכיוון אחר: כוונון עדין יריבי שמלמד מודל קידוד שהמסווג אינו יכול לקרוא, ומדווח על חמיקה ממסווג של למעלה מ-99% עבור מודלים בגודל 14B פרמטרים ומעלה, עם אובדן יכולת של פחות מ-5%, בשאלות CBRN מתוך מערך ציד הבאגים. הוא מציין שהמפל המדורג שמתחיל בבדיקה (probe-first cascade) עדיין מותיר את "המסווג LLM" מקבל את החלטת החסימה הסופית, ומוצא שבדיקות אקטיבציה משפרות באופן מהותי את העמידות בפני מתקפת הקידוד.

אף אחד משני המאמרים לא חולק על המספרים ש-Anthropic פרסמה עבור הפריסה שלה עצמה. שניהם מתייחסים למפל כאל הדבר שיש להכות בו. זו בחינה מדוקדקת יותר מזו שהפרסום זכה לה במקומות אחרים: חיפוש במדדי חדשות בחלון הפרסום לא העלה שום סיקור של כלי תקשורת מיינסטרים את הפוסט מ-9 בינואר, ומלבד שני המאמרים האלה, הניתוח העצמאי היחיד שאותר עבור מאמר זה הוא זה של Montana Research Foundation, שפורסם ב-21 בינואר 2026.

למה הארכיון מתייק את זה כמשילות

סוג הרשומה הוא מדיניות, תג הסוג שלה הוא GOV וחומרתה היא info, מה שנשמע מוזר עבור מאמר על ארכיטקטורת מסווג עד שמסתכלים על מה שבאמת נרשם. אין קורבן, אין מועד אחרון לגילוי ואין אוכלוסייה מושפעת מעבר לאנשים שהמסנן מדרג את שאילתותיהם. מה שהמסמכים מכילים הוא ספק שמפרסם ארכיטקטורה, מדידת פריסה ופרוטוקול red-teaming בפירוט מספיק כדי שמישהו אחר יוכל לבדוק את החשבון — ובהכרה, לנקוב בשמות הארגונים החיצוניים שערכו red-teaming לגרסאות קודמות: UK AISI, US CAISI ו-FAR.AI, כאשר HackerOne מפעילה את תוכנית הבאונטי באופן תפעולי.

האינטרס הממשלי הוא עקומת העלות. אמצעי הגנה שמוסיף רבע למחיר של כל שאילתה הוא כזה שצוות מוצר מתווכח אם לכבות אותו; הניתוח של מונטנה מעלה בדיוק את הנקודה הזו, בכותבו שב-23.7% צוות הבטיחות היה צריך להצדיק הפעלה שלו, וב-כ-1% "צוות המוצר צריך להצדיק כיבוי שלו". האם הנתון מחזיק מחוץ לסטאק של Anthropic עצמה היא השאלה הפתוחה, ואותו ניתוח מציג את המבחן: הפרוב קורא אקטיבציות, אקטיבציות ספציפיות למודל, ו"אם הן לא, זו תוצאה של Anthropic".

מה שאין בתיעוד הוא כל ראיה לכך שהמערכת כשלה בסביבת הייצור. לא מופיעים באף אחד מהמסמכים המצוטטים תקרית, עקיפה או נזק למשתמש, והארכיון רושם נזק ממשי כריק. תאריך ההגשה, 30 בינואר, נותר בלתי מוסבר על ידי המקורות; העבודה שהוא מתאר מתוארכת ל-8 ול-9 בינואר 2026.