境界点ジェイルブレイキング：AISIはいかにしてクエリあたり1ビットで2つのフロンティアAIフィルターを突破したか

2026年2月17日、英国AIセキュリティ研究所は「Boundary Point Jailbreaking」を公表した。これは、各クエリがブロックされたかどうかだけを教えられながら、展開済みのAI防御の中で最強級の二つを回避することを学習した自動手法である。有害なリクエストの前に置く敵対的プレフィックスを、難読化の少ない標的のカリキュラムと、分類器の決定境界上の「境界点」の探索を用いて最適化する。AnthropicのConstitutional Classifiers（Claude Sonnet 4.5を保護）に対しては、未見の生物学的悪用に関する質問で平均ルーブリックスコアを0%から25.5%に引き上げた。費用は約330ドル、クエリ数は66万件だった。OpenAIのGPT-5向け入力分類器に対しては、約210ドルで75.6%に達した。どのシステムも侵害されず、人も害を受けなかった。AI Incident Archiveはこれを、中程度の重大性、信頼度グレードA、異議なしの研究記録として登録している。記録自体、その引用リスト、およびその周辺に登録された研究エントリは、Orca AI Incident Archiveに収められている。同アーカイブは、AISIの投稿とarXiv論文の両方に直接リンクしている。

攻撃が何を最適化し、何を見ることを許可されているか

論文はBoundary Point Jailbreaking of Black-Box LLMs（Xander Davies、Giorgi Giglemiani、Edmund Lau、Eric Winsor、Geoffrey Irving、Yarin Gal著）——2026年2月16日にarXivへ投稿され、2日後に改訂され、その間の日にAISIによって発表された。その貢献は新しいジェイルブレイク文字列ではなく、意図的に情報予算を絞った状況下でそれを見つけるための探索手順である。

著者らが説明するように、以前の自動化された攻撃は、ホワイトボックスまたはグレーボックスへのアクセスに依存していた。分類器のスコア、勾配、あるいは誰かがすでに作成したジェイルブレイクのライブラリである。BPJは、APIアクセスとクエリごとの1ビット、すなわちフラグが立つか立たないか以外に何も持たない攻撃者を想定している。その1ビットが目的信号のすべてであり、この手法のあらゆる部分は、そこからランキング情報を搾り出すために存在する。

• 最適化される対象はプレフィックスである。 長さに上限を設けたトークン列を有害なターゲットの前に連結し、探索は一度に1つのトークンを置換・挿入・削除することでその列を変化させる。プレフィックスは一度だけ最適化され、その後、調整対象になったことのない質問に適用される。この転移のことを「ユニバーサル」という語は指している。

• カリキュラムは、一つの難しい標的をはしごに変える。有害な文字列内の文字はランダムにノイズ文字へ置き換えられ、難易度は破損した割合によってパラメータ化される。破損が大きいとき、分類器はほとんどゴミのような文字列を見ることになり、通過させるのは容易である。攻撃が成功するにつれて、破損は段階的に減らされ、最終的には元の有害な文字列が未変更のまま通過されるようになる。

• 境界点こそがランキングの秘訣です。 各候補ターゲットについて、この手法はノイズの多い変種をサンプリングし、候補プレフィックスの母集団が互いに一致しないもの — 一部はフラグが立ち、一部は立たないもの — だけを保持します。全員が解けるターゲットや誰も解けないターゲットは、どのプレフィックスがより良いかについて何も語らないため、破棄されます。これが、クエリごとに1ビットで十分になる部分です。

• 探索そのものがエリート主義的な進化ループである。 親となるプレフィックスを選び、1つのトークンを変異させ、現在の境界点のうちいくつを解決できるかで子を採点し、少なくとも1つの現存個体を上回ればそれを保持する。

アブレーションは、境界点選択が実際に寄与していることを示す最も明確な証拠である。BPJは、同じカリキュラムをランダムな評価セットで回した場合より約5倍速く収束し、ランダムなプレフィックスによるbest-of-Nベースラインは予算内でまったく収束しなかった。著者らはさらに、安価なプロンプトベースのGPT-4.1-nano分類器に対してパイプラインを実行し、単一のHarmBench質問で最適化して5回反復し（各実行は約25,000～30,000クエリ）、得られたプレフィックスがHarmBenchの全セットに転移すること、元の質問のカテゴリ外のトピックにも転移することを確認した。

2つのターゲットと、そのパーセンテージが実際に測っているもの

フロンティアテストでは Claude Sonnet 4.5（claude-sonnet-4-5-20250929、2025年11月27日時点）を Constitutional Classifiers の背後で使用し、gpt-5 を OpenAI の入力分類器の背後で使用しました（2025年11月6～7日時点）。どちらの場合も、著者らは製品を通じてクエリを送信し、応答が拒否またはフラグとして返ってくるかどうかを確認することで、分類器に間接的に到達しました。

その設定は数値を読むうえで重要だ。「スコア」は二値的な区分ではなく、問題ごとに、特定の技術的詳細が回答に現れるかどうかを確認するルーブリックによって計算され、報告される平均では空の出力が除外されている。Max@50は、単一の問題における50回の試行を通じた最高スコアである。したがって、25.5%という平均は「4回に1回の攻撃が成功した」ということではなく、そもそも生成された回答のルーブリック品質の平均である。

防御側自身のこれまでの実績に照らしても、結果はなお厳しい。Constitutional Classifiers は以前、30万件を超えるチャットでのやり取りにわたり、3,700時間超の人間によるレッドチーミングに耐えており、その間に完全に成功した人間主導のユニバーサルジェイルブレイクは1件だけ見つかっていた。Anthropic は AISI に対し、BPJ は自社のバグバウンティプログラムで述べられているユニバーサルジェイルブレイクの基準を満たしていただろうと伝えた。

GPT-5入力分類器は同じ攻撃下での耐性がかなり低く、平均75.6%、best-of-fiftyで94.3%だったのに対し、Constitutional Classifiersでは25.5%と39.9%でした。さらに、プレフィックスに基本的なelicitationプロンプトを適用すると、68%と80.4%に上昇しました。

両社は、AISIが引用した通り、結果を自社の言葉で表現した。Anthropicは、BPJが、Constitutional Classifiersの設定で成功したと同社が把握している限り初の完全自動化されたブラックボックス攻撃であることを検証した。OpenAIは、人間によるシード攻撃に依存せずにGPT-5の入力分類器を突破することに成功したと同社が把握している限り初の自動攻撃であることを検証した。両方の声明は各社が知る範囲に限定されており、どちらも企業が単独の勧告として公表したものではない。

重要なのは割合ではなくコストだ

25.5%という平均値は、ほとんどのジェイルブレイク論文では目立たないだろう。この記録をアーカイブにおける画期的な項目にしているのは、能力と予算の比率だ。200〜300ドル、そして両ターゲット合計で約150万クエリという、無人で実行され、人間の介在を必要としない攻撃に対して。

BPJ以前、分類器ベースの防御を支える実効的な前提は、汎用ジェイルブレイクを見つけるには熟練した人間による持続的な努力が必要だというものだった。3,700時間という数字は、その前提を最も明確に表している。BPJはレッドチームを、単一のブール値を読み取ってそれを改善する探索ループに置き換える。防御は依然としてほとんどの場合機能している。変わったのは、それを攻撃する経済性だ。

両研究所は最も強い解釈に反論し、AISIはその反論を投稿の中で埋もれさせずに取り上げている。Anthropicは、BPJには数か月にわたる研究開発の取り組みが必要だったと指摘し、Constitutional Classifiersは、より少ないクエリ予算で活動し、攻撃開発に費やす時間が少なく、この手法の詳細を実装するのに苦労するであろう低技能の行為者に対抗するよう設計されていると述べた。これはBPJを誰が再現できるかについての主張であり、それが機能するかどうかについての主張ではない。

なぜ防衛は会話をまたいで重要でなければならないのか

AISIの投稿で最も重要なのは、成功率ではない。BPJは「個々のやり取りにおいて防御が難しい一方で、最適化の過程では多くのフラグを立てる」という指摘であり、したがって効果的な防御には、単一のやり取り単位の手法をバッチレベルの監視で補う必要があるということだ。

非対称性は偶発的なものではなく構造的なものだ。会話単位の分類器は一度に一つの入力に対して判断を下さなければならず、決定境界の近くに位置するよう選ばれたプレフィックスは、まさにその判断をわずかに誤らせるために選ばれている。バッチ単位の監視は別の対象、すなわちトラフィックを見ている。66万回のクエリを費やす最適化実行は、その過程で膨大な数のフラグを立てざるを得ず、個々の会話が決め手にならなくてもそれらのフラグは可視化される。

OpenAI自身のAISIに対するコメントは、この議論の実践版である。そこでは、BPJの開発と実行が、禁止などの執行措置の対象になっていないアカウント上で行われたこと、また標準的なアカウントでは繰り返しのフラグがアカウント停止につながる可能性が高いことが指摘されていた——OpenAIはこれを、AISIが推奨するまさにバッチレベルの監視の一例だと述べた。この攻撃を捕捉できたはずの統制は、より優れた分類器ではなく、アカウントレベルのものである。

著者らが、この攻撃にはできないと述べていること

BPJが攻撃するのは入力分類器であり、モデルではない。両方のフロンティア設定で、著者らはメインモデル自身の拒否を回避するために、人間が見つけた単純なジェイルブレイクを使用した。したがって、測定されたスコアは、分類器が突破された後、モデルが依然として回答する意思がある場合に何が起こるかを表している。論文には、BPJがモデルの拒否トレーニングを直接打ち負かすことを示すものは何もない。

• ステルス性はありません。 著者らは、BPJ攻撃は多数の分類器フラグを引き起こし、現実的な条件下では禁止につながると明言している。

• クエリを大量に消費します。 公開されている実行では660,000回と800,000回のクエリを消費します。これは気軽な利用にとって現実的な障壁であり、トラフィックを監視している人には強いシグナルとなります。

• これはほぼ決定的な分類器を仮定している。 著者らは、高度に確率的な分類器を用いる設定を明示的には考慮していない。

• 手法の一部は非公開となっている. 拡散リスクを抑えるため、論文は重要なアルゴリズムの詳細を要約し、攻撃文字列もコードも公開していない。これは擁護できる選択であり、また、この結果が出版物だけから独立に再現できない理由でもある.

それについて何が行われ、何が確立されていないのか

AISIは、公開前に両社へ結果を共有したこと、両社が同研究所との提携のもとで攻撃を再現したこと、両社がBPJ固有の緩和策を開発したことを明らかにしている。論文には、開示が公開の少なくとも6週間前に行われたと記されている。投稿には、これらの緩和策の技術的詳細は一切示されておらず、いつ提供開始されたか、どのように検証されたかについても述べられていない。

それは、この記事が確認できる範囲の限界でもある。記録の信頼度評価Aはドキュメントの品質を反映したものであり、攻撃を独自に検証したものではない。一次資料は2点のみで、しかも同一組織から出たものだ。AnthropicとOpenAIの確認は、本記事が直接読むことのできた文書ではなく、AISIの説明を通じて記録に届いている。AISI以外の報道範囲はブログ記事の繰り返しにとどまる——It Does What Now?やResultsenseによる業界向け記事は、独自検証なしに数値をそのまま伝えている——そして本記事のための調査では、この結果について主要メディアによる独自報道は見つからなかった。

記録には、BPJがテスト以外の稼働システムに対して使用されたことを示すものは何もなく、アーカイブにも実世界での被害は記録されていない。この論文はarXivのプレプリントであり、査読付き出版物ではない。「初」という主張は、それを行った研究所によって慎重に範囲が限定されており——「彼らが知る限り初めて」——絶対的なものとしてではなく、そのように読むべきである。

もう一つの限界は、つい過大に解釈されがちだ。対象は2025年11月時点で現行だった構成であり、AISIの投稿は、それが攻撃した2つより新しい防御について何も挙げていない。BPJ固有の緩和策を経た後のConstitutional ClassifiersやOpenAIの入力フィルタリングがどのようなものかは、この記録からは分からない。そしてブログも論文も、後発の防御が同じプレフィックスに対して依然として脆弱だと主張しているわけではない。

長く有効な知見は、防御をどこに置くかという点にある。一度に一つの会話だけを判定する分類器は、数十万回もの試行を許された攻撃者にとっては不適切な形である。なぜなら、攻撃自身の探索プロセスこそが攻撃を露見させるからだ。メッセージではなくバッチを監視するというAISIの勧告は、攻撃の仕組みから導かれるものであり、BPJ自体が今後二度と使われないとしても当てはまる。