ג'יילברייקינג מנקודת גבול: כיצד AISI פרצה שני מסנני בינה מלאכותית חזיתיים עם ביט אחד לכל שאילתה

ב-17 בפברואר 2026 פרסם ה-UK AI Security Institute את Boundary Point Jailbreaking, שיטה אוטומטית שלמדה לחמוק משתיים מההגנות החזקות ביותר של בינה מלאכותית שהוטמעו, בעוד שנאמר לה רק אם כל שאילתה נחסמה. היא מייעלת קידומת יריבה המוצבת לפני בקשה מזיקה, תוך שימוש בתוכנית לימודים של מטרות פחות מוסוות וחיפוש אחר "נקודות גבול" על גבול ההחלטה של מסווג. מול Constitutional Classifiers של Anthropic, המגנים על Claude Sonnet 4.5, היא העלתה ציוני רובריקה ממוצעים בשאלות ניצול לרעה ביולוגי שלא נראו מ-0% ל-25.5% תמורת כ-330 דולר ו-660,000 שאילתות. מול מסווג הקלט של OpenAI עבור GPT-5 היא הגיעה ל-75.6% תמורת כ-210 דולר. אף מערכת לא נפרצה ואף אדם לא נפגע: ה-AI Incident Archive רושם זאת כרשומת מחקר בחומרה בינונית, בדרגת ביטחון A, ללא מחלוקת מצורפת. הרשומה עצמה, רשימת הציטוטים שלה ורשומות המחקר שהוגשו סביבה מוחזקים בOrca AI Incident Archive, שמקשר ישירות גם לפוסט של AISI וגם למאמר ב-arXiv.

מה שההתקפה מייעלת, ומה שמותר לה לראות

המאמר הוא פריצת נקודת גבול של מודלי LLM בקופסה שחורה, מאת זנדר דייוויס, גיורגי גיגלמיאני, אדמונד לאו, אריק וינזור, ג'פרי אירווינג וירין גל — פורסם ב-arXiv ב-16 בפברואר 2026, עודכן יומיים לאחר מכן, והוכרז על ידי AISI ביום שביניהם. תרומתו אינה מחרוזת פריצה חדשה אלא הליך חיפוש לאיתורה תחת תקציב מידע דל בכוונה.

מתקפות אוטומטיות קודמות, כפי שהמחברים מתארים אותן, נשענו על גישה מסוג white-box או grey-box: ציוני מסווג, גרדיאנטים, או ספרייה של פריצות jailbreak שמישהו כבר כתב. BPJ מניח תוקף שאין לו דבר מלבד גישה ל-API וסיבית אחת לכל שאילתה — מסומנת או לא מסומנת. הסיבית הזו היא אות המטרה כולו, וכל חלק בשיטה קיים כדי לסחוט ממנה מידע על דירוג.

• האובייקט שעליו מבוצעת האופטימיזציה הוא קידומת. רצף טוקנים באורך מוגבל משורשר לפני מטרה מזיקה, והחיפוש משנה אותו על ידי החלפה, הוספה או מחיקה של טוקן אחד בכל פעם. הקידומת עוברת אופטימיזציה פעם אחת ולאחר מכן מיושמת על שאלות שמעולם לא כווננה עליהן; ההעברה הזו היא למה שהמילה "אוניברסלי" מתייחסת.

• הקוריקולום הופך מטרה קשה אחת לסולם.התווים במחרוזת המזיקה מוחלפים באופן אקראי בתווי רעש, והקושי מוגדר כפרמטר לפי שיעור השיבוש. בשיבוש גבוה המסווג רואה כמעט זבל וקל לעבור אותו; ככל שההתקפה מצליחה, השיבוש מופחת בהדרגה עד שהמחרוזת המזיקה המקורית מועברת ללא שינוי.

• נקודות גבול הן הטריק לדירוג. עבור כל מטרת מועמדת, השיטה דוגמת וריאנטים רועשים ושומרת רק את אלה שבהם אוכלוסיית הקידומות המועמדות חלוקה בדעותיה — חלקן מסומנות, חלקן לא. מטרות שכולם פותרים, או שאף אחד לא פותר, לא אומרות דבר על איזו קידומת טובה יותר, ולכן נזרקות. זה הרכיב שהופך ביט אחד לכל שאילתה למספיק.

• החיפוש עצמו הוא לולאה אבולוציונית אליטיסטית. בחרו קידומת אב, שנו טוקן אחד, דרגו את הצאצא לפי מספר נקודות הגבול הנוכחיות שהוא פותר, ושמרו אותו אם הוא עולה על לפחות אחד מהפתרונות הקיימים.

האבלציה היא הראיה הברורה ביותר לכך שבחירת נקודות הגבול אכן עושה עבודה: BPJ התכנס בערך פי חמישה מהר יותר מאותו קוריקולום עם קבוצות הערכה אקראיות, ובסיס best-of-N של קידומות אקראיות לא התכנס כלל במסגרת התקציב. המחברים גם הריצו את הצינור מול מסווג GPT-4.1-nano זול מבוסס פרומפט, תוך אופטימיזציה על שאלת HarmBench אחת וחזרה על פני חמש — ריצות של כ-25,000 עד 30,000 שאילתות כל אחת — ומצאו שהקידומת שהתקבלה עברה לכל סט HarmBench, כולל לנושאים מחוץ לקטגוריה של השאלה המקורית.

שני היעדים, ומה שהאחוזים למעשה מודדים

במבחני החזית השתמשו ב-Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, נכון ל-27 בנובמבר 2025) מאחורי ה-Constitutional Classifiers, ו־gpt-5 מאחורי מסווג הקלט של OpenAI (נכון ל-6–7 בנובמבר 2025). בשני המקרים, המחברים הגיעו למסווג בעקיפין, על ידי שליחת שאילתות דרך המוצר ובדיקה אם התגובה חזרה כסירוב או כסימון.

ההגדרה הזו חשובה לקריאת המספרים. "ציון" אינו שבירה בינארית; הוא מחושב לכל שאלה באמצעות רובריקה שבודקת אם פרטים טכניים ספציפיים מופיעים בתשובה, והממוצעים המדווחים אינם כוללים פלטים ריקים. Max@50 הוא הציון הטוב ביותר מבין חמישים ניסיונות על שאלה בודדת. ממוצע של 25.5% אינו אפוא "התקפה אחת מתוך ארבע הצליחה" — הוא איכות הרובריקה הממוצעת של התשובות שהופקו בכלל.

בהשוואה להיסטוריה של ההגנה עצמה, התוצאה עדיין בולטת. Constitutional Classifiers עמדו בעבר בלמעלה מ-3,700 שעות של רד-טימינג אנושי ביותר מ-300,000 אינטראקציות צ'אט, כאשר באותו זמן נמצאה רק פריצת כלא אוניברסלית אחת מוצלחת לחלוטין בהובלת אדם. Anthropic אמרה ל-AISI ש-BPJ הייתה עומדת ברף פריצת הכלא האוניברסלית המתואר בתוכנית הבאג באנטי שלה.

מסווג הקלט של GPT-5 עמד הרבה פחות טוב תחת אותה התקפה: 75.6% בממוצע ו-94.3% במקרה הטוב מבין חמישים, לעומת 25.5% ו-39.9% עבור Constitutional Classifiers, ועלה ל-68% ו-80.4% לאחר שהוחל פרומפטינג בסיסי מסוג elicitation על גבי הקידומת.

שתי החברות ניסחו את התוצאה במילים שלהן, כפי שצוטטו על ידי AISI. Anthropic אימתה ש-BPJ הוא מתקפת הקופסה השחורה האוטומטית לחלוטין הראשונה שהיא מכירה שהצליחה בהגדרת Constitutional Classifiers. OpenAI אימתה שזו המתקפה האוטומטית הראשונה שהיא מכירה שהצליחה נגד מסווג הקלט שלה עבור GPT-5 בלי להסתמך על מתקפות זרע אנושיות. שתי ההצהרות מוגבלות למה שכל חברה יודעת, ואף אחת מהן לא פורסמה על ידי החברה כייעוץ עצמאי.

העלות היא הסיפור, לא האחוז.

ממוצע של 25.5% לא היה בולט במיוחד ברוב מאמרי הג'יילברייק. מה שהופך את הרשומה הזו לרשומת ציון דרך בארכיון הוא היחס בין יכולת לתקציב: מאתיים עד שלוש מאות דולר, וכמיליון וחצי שאילתות בשני היעדים יחד, עבור התקפה שרצה ללא השגחה ואינה זקוקה לאדם בלולאה.

לפני BPJ, ההנחה המבצעית שעמדה מאחורי הגנות מבוססות מסווג הייתה שמציאת פריצת כלא אוניברסלית דורשת מאמץ אנושי מיומן ומתמשך — נתון 3,700 השעות הוא ההצהרה הברורה ביותר של הנחה זו. BPJ מחליף את הצוות האדום בלולאת חיפוש שקוראת ערך בוליאני בודד ומשפרת אותו. ההגנה עדיין עובדת רוב הזמן; הכלכלה של תקיפתה השתנתה.

שתי המעבדות דחו את הפרשנות החזקה ביותר, ו-AISI מביאה את התנגדותן בפוסט במקום לקבור אותה. Anthropic ציינה כי BPJ דרש חודשים של מאמץ מחקר ופיתוח, וכי Constitutional Classifiers תוכנן להתנגד לשחקנים פחות מיומנים שעובדים עם תקציבי שאילתות קטנים יותר, מקדישים פחות זמן לפיתוח התקפות, ויתקשו ליישם את פרטי השיטה. זו טענה לגבי מי יכול לשחזר את BPJ, לא לגבי האם זה עובד.

למה ההגנה חייבת להיספר לאורך שיחות

השורה בעלת ההשלכות הרבות ביותר בפוסט של AISI אינה שיעור הצלחה. היא ההבחנה ש-BPJ "קשה להגן מפניו באינטראקציות בודדות אך הוא צובר דגלים רבים במהלך אופטימיזציה", ולכן הגנה אפקטיבית מחייבת להשלים שיטות של אינטראקציה בודדת בניטור ברמת אצווה.

האסימטריה היא מבנית ולא מקרית. מסווג ברמת שיחה בודדת חייב לקבל החלטה על קלט אחד בכל פעם, וקידומת שנבחרה לשבת סמוך לגבול ההחלטה נבחרה במיוחד כדי לגרום לאותה החלטה להיות שגויה באופן שולי. ניטור ברמת אצווה מסתכל על אובייקט אחר: התעבורה. ריצת אופטימיזציה שמשתמשת ב-660,000 שאילתות חייבת להעלות מספר עצום של דגלים בדרך, והדגלים האלה גלויים גם כאשר אף שיחה בודדת אינה מפלילה.

ההערה של OpenAI עצמה ל-AISI היא הגרסה המעשית של הטיעון. היא ציינה כי הפיתוח וההפעלה של BPJ התרחשו בחשבונות שאינם כפופים לפעולות אכיפה כגון חסימה, וכי בחשבונות רגילים דגלים חוזרים היו ככל הנראה מובילים לחסימת חשבונות — מה ש-OpenAI תיארה כדוגמה בדיוק לניטור ברמת האצווה ש-AISI ממליצה עליו. הבקרה שהייתה יכולה לתפוס את המתקפה הזו אינה מסווג טוב יותר אלא בקרה ברמת החשבון.

מה שהמחברים אומרים שההתקפה לא יכולה לעשות

BPJ תוקף את מסווג הקלט, לא את המודל. בשתי הגדרות החזית המחברים השתמשו בפריצת כלא פשוטה שמצא אדם כדי לעבור את הסירובים של המודל הראשי עצמו, כך שהציונים שנמדדו מתארים מה קורה לאחר שמסווג הובס והמודל עדיין מוכן לענות. דבר במאמר לא מראה ש-BPJ מביס ישירות את אימון הסירוב של מודל.

• זה לא חמקני. המחברים מציינים בפשטות שהתקפות BPJ גוררות מספר רב של סימונים על ידי מסווגים, מה שיוביל לחסימות בתנאים מציאותיים.

• הוא תובעני מבחינת שאילתות. הריצות שפורסמו עלו 660,000 ו-800,000 שאילתות. זהו מחסום ממשי לשימוש מזדמן, ואות חזק לכל מי שצופה בתעבורה.

• זה מניח מסווג כמעט דטרמיניסטי. המחברים במפורש אינם מתייחסים להגדרות עם מסווגים בעלי אופי סטוכסטי גבוה.

• השיטה מוסתרת חלקית. כדי לצמצם את סיכון ההתפשטות, המאמר מתמצת פרטים אלגוריתמיים משמעותיים ואינו מפרסם לא מחרוזות תקיפה ולא קוד. זוהי בחירה ניתנת להגנה, וגם הסיבה לכך שלא ניתן לשחזר את התוצאה באופן עצמאי מן הפרסום בלבד.

מה נעשה בנוגע לכך, ומה לא נקבע

AISI אומרת שהיא שיתפה את התוצאות עם שתי החברות לפני הפרסום, ששתיהן שחזרו את המתקפה בשותפות עם המכון, וששתיהן פיתחו אמצעי הקלה ייעודיים ל-BPJ. המאמר קובע שהגילוי התרחש לפחות שישה שבועות לפני הפרסום. הפוסט אינו מפרט שום פרט טכני של אמצעי ההקלה הללו, ואינו אומר מתי הם הופצו או כיצד אומתו.

זו גם הגבול של מה שקטע זה יכול לאשר. דירוג הביטחון A של התיעוד משקף את איכות התיעוד, לא מבחן עצמאי של המתקפה: המסמכים הראשוניים הם שניים, והם מגיעים מאותה ארגון. האישורים של Anthropic ו-OpenAI מגיעים לתיעוד דרך הדיווח של AISI, ולא דרך מסמכים שהמאמר הזה יכול היה לקרוא ישירות. הסיקור מחוץ ל-AISI משחזר את פוסט הבלוג — כתבות מסחריות מ-It Does What Now? ומ-Resultsense חוזרות על הנתונים בלי בדיקה עצמאית — וחיפושים עבור המאמר הזה לא מצאו דיווח מקורי בעיתונות המיינסטרים על התוצאה.

שום דבר בתיעוד לא מראה ש-BPJ שימש נגד מערכת חיה מחוץ לבדיקה, והארכיון אינו מתעד נזק בעולם האמיתי. המאמר הוא טרום-פרסום ב-arXiv, לא פרסום שעבר ביקורת עמיתים. הטענות בדבר "הראשון" מוגדרות בקפידה על ידי המעבדות שהעלו אותן — "הראשון שידוע להן" — ויש לקרוא אותן כך ולא כמוחלטות.

מגבלה נוספת אחת שקל לפרש אותה יתר על המידה. היעדים היו תצורות שהיו עדכניות בנובמבר 2025, והפרסום של AISI אינו מציין שום הגנה חדשה יותר משתי ההגנות שתקף. איך ייראו Constitutional Classifiers וסינון הקלט של OpenAI לאחר המיטיגציות הספציפיות ל-BPJ, התיעוד הזה אינו אומר — וגם לא הבלוג ולא המאמר טוענים שההגנות המאוחרות יותר נותרו פגיעות לאותה תחילית.

הממצא העמיד נוגע לשאלה היכן למקם את ההגנה. מסווג ששופט שיחה אחת בכל פעם הוא בצורה הלא נכונה עבור תוקף שמותר לו מאות אלפי ניסיונות, מפני שתהליך החיפוש של ההתקפה עצמה הוא מה שמסגיר אותה. ההמלצה של AISI לעקוב אחר האצווה ולא אחר ההודעה נובעת מהמכניקה של ההתקפה, והיא תקפה בין אם BPJ עצמו ישמש שוב ובין אם לאו.