Constitutional Classifiers++: nessun jailbreak universale in 1.736 ore di red-team

Anthropic ha pubblicato la seconda generazione delle sue difese contro il jailbreak per Claude — Constitutional Classifiers++ — in un post di ricerca datato 9 gennaio 2026 e in un articolo con 29 autori inviato ad arXiv l'8 gennaio 2026. Il design pone una sonda lineare sulle attivazioni interne del modello stesso davanti a un classificatore più pesante che legge ogni risposta nel contesto del prompt, e Anthropic riferisce che un deployment shadow di un mese sul traffico di Claude Sonnet 4.5 ha rifiutato lo 0,05% delle query, che il sistema di produzione ha usato circa un quarantesimo della potenza di calcolo del classificatore a singolo scambio rispetto al quale è stato misurato, e che 1.736 ore di red-teaming umano non hanno prodotto alcun jailbreak universale. Nulla è stato danneggiato e non si ipotizza alcun attacco: si tratta di una difesa descritta e misurata, non di un'intrusione divulgata. L'archivio registra l'episodio come un record di governance con una data precisa al giorno del 30 gennaio 2026, un grado di confidenza A e nessun danno registrato, insieme al resto delle sue voci sulla sicurezza dell'IA in Orca AI Incident Archive.

La data dell'archivio non è la data di pubblicazione

Le due fonti citate concordano tra loro — la base del voto A dell'archivio — ma nessuna delle due è datata 30 gennaio 2026. Il post di ricerca «Constitutional Classifiers di nuova generazione: protezione più efficiente contro i jailbreak universali» riporta nei metadati della pagina un timestamp di pubblicazione del 9 gennaio 2026. L'articolo «Constitutional Classifiers++: difese efficienti di livello produttivo contro i jailbreak universali» è stato inviato l'8 gennaio 2026 alle 05:16 UTC e da allora non è stato revisionato su arXiv; la versione citata dall'archivio, 2601.04603v1, è l'unica. La data del 30 gennaio è qui riportata come registrazione dell'archivio stesso con precisione al giorno, non come data di nessuno dei due documenti.

Questo è importante perché il riassunto in una riga dell'archivio contiene tre cifre che un lettore probabilmente ripeterà — 40x, 0,05%, oltre 1.700 ore — e ciascuna è misurata rispetto a un valore di riferimento diverso da quello che la formulazione del riassunto lascia intendere. Il resto di questo articolo riguarda quali siano questi valori di riferimento.

Tre modifiche, impilate

I Constitutional Classifiers sono stati introdotti nel febbraio 2025 come una coppia di filtri addestrati su dati sintetici generati da una "costituzione" scritta di contenuti consentiti e vietati. Quella prima generazione utilizzava un classificatore di input separato e un classificatore solo di output, e il post di Anthropic stesso gli attribuisce la riduzione del successo dei jailbreak su un modello non difeso dall'86% al 4,4% — bloccando circa il 95% degli attacchi — a un costo di 23,7% di calcolo aggiuntivo e un aumento dello 0,38% dei rifiuti su query innocue.

L'articolo si apre mostrando come quella coppia possa essere separata. Due classi di attacco hanno funzionato. Gli attacchi di ricostruzione distribuiscono una richiesta dannosa su frammenti dall'aspetto innocuo — l'esempio dell'articolo incorpora una domanda nei valori di ritorno di funzioni distribuite in una base di codice, poi istruisce il modello a riassemblarla — così il filtro di input non vede mai una richiesta completa. Gli attacchi di offuscamento dell'output inducono il modello a rispondere con codici di sostituzione o metafore, così un classificatore che analizza solo l'output legge qualcosa di anodino; l'illustrazione dell'articolo mostra un modello che descrive la produzione di acido cloridrico come l'unione di «fuoco del sole» e «dono del mare», mentre il classificatore non scopre mai cosa decodifica l'indovinello. Poiché l'output da solo è ininterpretabile senza l'input, un filtro che legge solo un lato dello scambio non può vedere il danno.

Seguono tre modifiche, e l'articolo valuta ciascuna separatamente prima di combinarle.

• Scambiare i classificatori. Un singolo classificatore legge l'output del modello nel contesto dell'input, valutando i token in batch man mano che vengono generati, con il caching del prompt che rende sostenibile la riproduzione. Il red-teaming umano ha rilevato 2,2 volte meno vulnerabilità ad alto rischio per tentativo di jailbreak rispetto al design a due classificatori, ma con circa il 50% in più di potenza di calcolo, poiché ora un modello delle dimensioni di Haiku valuta l'intera conversazione.

• Una cascata. Un classificatore leggero di primo stadio analizza tutto il traffico e inoltra solo ciò che segnala al costoso secondo stadio. Il design sfrutta una proprietà dell'architettura anziché del modello: poiché uno scambio segnalato viene inoltrato anziché rifiutato, allo stadio economico è consentito un alto tasso di falsi positivi, il che significa che un modello più debole ed economico può gestirlo. Anthropic imposta la soglia del primo stadio in modo che la stragrande maggioranza degli esempi tratti dai propri dataset di red-teaming venga segnalata e, con modifiche alla pipeline di inferenza e modelli aggiornati, riporta una riduzione di 5,4 volte del calcolo rispetto al classificatore a scambio singolo. Circa il 10% del traffico raggiunge il secondo stadio, e il primo stadio rappresenta all'incirca il 77% del costo totale.

• Sonde di attivazione lineari. Il terzo cambiamento riutilizza calcoli che il modello ha già eseguito. Una sonda lineare legge le attivazioni del residual stream a ogni layer man mano che i token vengono campionati, quindi il suo costo marginale è quasi nullo: il paper stima una sonda su tutti i layer per un modello da 27B a circa 377K FLOP per token, rispetto a circa 8B per un singolo forward pass di un modello da 4B. Due dettagli di training si sono rivelati importanti: la media dei logit su una finestra scorrevole di 16 token durante il training, così che una singola attivazione spuria non possa contrassegnare una sequenza, e una loss ponderata con softmax che penalizza i falsi positivi ad alta confidenza molto più dei veri negativi ad alta confidenza. Su un set statico di circa 7.000 scambi di red-team, la sonda migliore ha superato il classificatore esterno extra-small e quasi eguagliato quello di Haiku 4.5. Messa in ensemble con un classificatore esterno, ha ottenuto risultati migliori di entrambi da soli, e la spiegazione del paper è la parte interessante: gli errori della sonda correlano con quelli del classificatore meno di quanto gli errori di due classificatori correlino tra loro, quindi la sonda "sembra sfruttare segnali che complementano quelli usati dai classificatori esterni".

Il sistema di produzione, nei suoi stessi numeri

Ciò che è stato rilasciato combina gli ultimi due: una sonda lineare sulle attivazioni di Claude Sonnet 4.5 analizza ogni scambio durante la generazione e, quando il suo punteggio supera una soglia, lo scambio viene inviato a un classificatore di secondo stadio messo a punto a partire da Claude Haiku 4.5. Per gli scambi in escalation, i due punteggi vengono combinati con un peso di 0,55 per la sonda e 0,45 per il classificatore. La sonda ha mandato in escalation circa il 5,5% del traffico di produzione.

Anthropic l'ha valutato in un deployment in ombra sul traffico di produzione di Claude Sonnet 4.5 tra il 1° dicembre 2025 e il 1° gennaio 2026. Il tasso di segnalazione — la proporzione di query rifiutate — era dello 0,05%, rispetto allo 0,38% riportato dal lavoro di prima generazione. Nel post del blog l'azienda lo descrive come un calo dell'87% rispetto ai classificatori originali e, separatamente, afferma che il sistema aggiunge «circa l'1% di sovraccarico computazionale se applicato al traffico di Claude Opus 4.0».

Tre avvertenze sono contenute in quelle due frasi, e nessuna di esse è nascosta da Anthropic — è semplicemente facile perderle quando i numeri viaggiano.

Innanzitutto, il confronto sui rifiuti è rispetto allo 0,38%, il dato pubblicato per la prima generazione. La Tabella 1 dell'articolo stesso riporta il tasso di rifiuto in produzione per la reimplementazione di Anthropic del sistema dell'ultima generazione allo 0,073%, misurato nella prima settimana dopo la distribuzione. Entrambi i numeri sono di Anthropic; misurano cose diverse — un aumento dei rifiuti sulle query innocue in un caso, una quota di query di produzione rifiutate nell'altro — e l'affermazione dell'87% è calcolata a partire dal maggiore dei due.

In secondo luogo, il tasso di rifiuto del sistema distribuito non è il più basso del paper. La Tabella 1 riporta 0,038% per il classificatore a scambio singolo e 0,036% per la cascata a due stadi senza sonde; il sistema in produzione è allo 0,050%. Vince sul calcolo e sulla robustezza, non sui rifiuti, e la sua stessa tabella lo dice.

Terzo, il dato dell'1% di calcolo e il dato del 40x non sono la stessa misura. Il 40x si riferisce al classificatore a singolo scambio della terza sezione dell'articolo — un sistema che era già di per sé circa il 50% più costoso della generazione precedente. La Tabella 1 dell'articolo, che indicizza tutto al sistema della generazione precedente a 100,0, assegna 150,0 a quel classificatore a singolo scambio, 27,8 alla cascata a due stadi e 3,5 al sistema di produzione. Letta rispetto alla generazione precedente anziché rispetto al progetto intermedio, la tabella implica una riduzione di circa ventinove volte. L'~1% del blog è ancora una terza base: un valore assoluto di sovraccarico misurato sul traffico di Claude Opus 4.0, accostato al 23,7% della prima generazione.

Cosa stabiliscono 1.736 ore di red-teaming

L'affermazione di robustezza si basa su una definizione specifica, e la definizione è il punto in cui vive l'argomentazione. Ai red-teamer di Anthropic è stato chiesto di costruire strategie in grado di estrarre risposte dettagliate a otto domande-obiettivo CBRN fisse. Una risposta è considerata dannosa se una rubrica LLM le assegna almeno metà del dettaglio di una risposta di un modello senza salvaguardie, e una "vulnerabilità ad alto rischio" è un attacco che riesce su più di cinque delle otto. Un jailbreak universale, in questa letteratura, è una strategia che funziona sulla maggior parte dell'insieme-obiettivo — ciò che permetterebbe a qualcuno di consegnare una ricetta a uno sconosciuto invece di imbattersi per fortuna in una singola risposta.

Il sistema di produzione ha richiesto un numero stimato di 1.736 ore cumulative di red-teaming su circa 198.000 tentativi, con ore stimate dai log API in intervalli di cinque minuti. È stata trovata una vulnerabilità ad alto rischio, con un tasso di scoperta di 0,005 per mille query, e sono state necessarie 30 ore per trovarla — il tempo minimo di scoperta più lungo tra tutti i sistemi dell'articolo. Nessun attacco ha risposto a tutte e otto le domande target con metà del livello di dettaglio di un modello non difeso. La riga di confronto è la reimplementazione dell'ultima generazione dello stesso articolo: 13 vulnerabilità ad alto rischio su 695.000 query, un tasso di 0,01871 per mille, incluse quattro jailbreak che hanno risposto a ogni domanda target con metà del livello di dettaglio, trovate in media in 27 ore.

Due limiti di quel risultato meritano di essere enunciati chiaramente. Il primo è nella nota a piè di pagina del paper stesso, allegata alla sezione che descrive la cascata a due stadi che precedeva il sistema di probe: "red-teamer di livello esperto che operavano al di fuori del nostro programma di bounty sono comunque riusciti a scoprire jailbreak universali per questo sistema, sebbene ciò abbia richiesto uno sforzo considerevole e strumenti automatizzati". Il sistema di produzione finale non era oggetto di quella nota, ma la nota stabilisce che l'asticella del bounty di Anthropic non è il tetto di ciò che attaccanti determinati possono fare. Il secondo è la conclusione di Anthropic stessa nel post del blog: "nessun sistema di IA attualmente sul mercato dispone di difese perfettamente robuste". La Montana Research Foundation, un'organizzazione di ricerca indipendente che ha analizzato il rilascio il 21 gennaio 2026, ha formulato lo stesso punto in modo più incisivo — l'asticella delle otto domande è "un'asticella scelta dal difensore", e le due classi di attacco che Anthropic stessa nomina "la intaccano anziché superarla".

Cosa passa ancora

Anthropic nomina due classi residue di attacco e non sostiene di averle chiuse. Gli attacchi di ricostruzione, che frammentano una richiesta attraverso un contesto, e l'offuscamento dell'output, che maschera una risposta in eufemismi, metafore o codice, sono le stesse tecniche che hanno sconfitto la prima generazione; il classificatore degli scambi le rende più difficili, non impossibili. Il documento registra anche il costo di attaccare in generale: su GPQA Diamond, Claude Opus 4 ha ottenuto il 74,2% non modificato, il 32,3% sotto un attacco di frammentazione e il 49% sotto un altro. Gli autori definiscono tale variabilità "preoccupante", sul ragionamento che un avversario che investe nel problema può probabilmente trovare attacchi che preservano più capacità del modello pur riuscendo comunque a passare.

Lavori successivi hanno preso sul serio entrambe le aperture, ed è indipendente da Anthropic in un modo in cui il rilascio stesso non lo è.

• Jailbreaking del punto di confine, inviato ad arXiv il 16 febbraio 2026 da ricercatori dell'UK AI Security Institute e dell'OATML di Oxford, descrive un attacco automatizzato completamente black-box che richiede solo un bit per query — segnalata o non segnalata — e lo presenta come "il primo algoritmo di attacco completamente automatizzato che riesce a sviluppare jailbreak universali contro i Constitutional Classifiers". Il suo obiettivo era il classificatore che proteggeva Claude Sonnet 4.5 al 27 novembre 2025, che l'articolo riconduce al lavoro di prima generazione del 2025 anziché alla cascata di sonde; l'articolo riporta anche il risultato preliminare di Anthropic secondo cui i classificatori basati su sonde "potrebbero essere più resistenti a questo tipo di attacco rispetto al classificatore basato su testo", e che l'addestramento sulle stringhe di attacco migliora il rilevamento.

• Trojan-Speak, presentato il 30 marzo 2026 da autori dell'Anthropic Fellows Program e della Virginia Tech, attacca da una direzione diversa: il fine-tuning avversariale che insegna a un modello una codifica che il classificatore non riesce a leggere, riportando oltre il 99% di elusione del classificatore per modelli da 14B parametri e superiori con una perdita di capacità inferiore al 5%, sulle domande CBRN del set bug-bounty. Osserva che la cascata probe-first lascia comunque "il classificatore LLM" a prendere la decisione finale di blocco, e rileva che le sonde di attivazione migliorano sostanzialmente la robustezza contro l'attacco di codifica.

Nessuno dei due articoli contesta i numeri pubblicati da Anthropic per la propria implementazione. Entrambi considerano la cascata l'obiettivo da battere. Si tratta di un esame più approfondito di quello che il rilascio ha ricevuto altrove: una ricerca negli indici di notizie per la finestra di pubblicazione non ha fatto emergere alcuna copertura da parte di testate mainstream del post del 9 gennaio e, a parte questi due articoli, l'unica analisi indipendente reperita per questo articolo è quella della Montana Research Foundation, pubblicata il 21 gennaio 2026.

Perché l'archivio lo classifica come governance

Il tipo di record è policy, il tag di tipo è GOV e la gravità è info, il che suona strano per un documento sull'architettura di un classificatore finché non si guarda a ciò che viene effettivamente registrato. Non c'è vittima, non c'è scadenza per la divulgazione e nessuna popolazione interessata oltre alle persone le cui query il filtro valuta. Ciò che i documenti contengono è un fornitore che pubblica un'architettura, una misurazione del deployment e un protocollo di red-teaming con dettagli sufficienti perché qualcun altro possa verificare i calcoli — e, nei ringraziamenti, nomina le organizzazioni esterne che hanno fatto red-teaming delle versioni precedenti: UK AISI, US CAISI e FAR.AI, con HackerOne che gestisce operativamente il bounty.

L'interesse della governance è la curva dei costi. Una salvaguardia che aggiunge un quarto al prezzo di ogni query è una di cui un team di prodotto discute se disattivare; l'analisi Montana fa esattamente questo punto, scrivendo che al 23,7% il team di sicurezza doveva giustificare l'attivazione, e a circa l'1% "il team di prodotto deve giustificare la disattivazione". Se il dato regga al di fuori dello stack di Anthropic è la questione aperta, e la stessa analisi enuncia il test: la sonda legge le attivazioni, le attivazioni sono specifiche del modello, e "se non lo fanno, è un risultato di Anthropic".

Ciò che il fascicolo non contiene è alcuna prova che il sistema abbia fallito in produzione. Nessun incidente, nessun bypass, nessun danno all'utente compare in nessuno dei due documenti citati, e l'archivio registra il danno reale come nullo. La data di deposito del 30 gennaio resta inspiegata dalle fonti; il lavoro che descrive è datato 8 e 9 gennaio 2026.