Constitutional Classifiers++: brak uniwersalnego jailbreaku podczas 1 736 godzin testów red-team

Anthropic opublikował drugą generację swoich zabezpieczeń przed jailbreakiem dla Claude — Constitutional Classifiers++ — w poście badawczym z 9 stycznia 2026 r. oraz w artykule autorstwa 29 osób przesłanym do arXiv 8 stycznia 2026 r. Rozwiązanie umieszcza liniową sondę na wewnętrznych aktywacjach samego modelu przed cięższym klasyfikatorem, który odczytuje każdą odpowiedź w kontekście promptu; Anthropic podaje, że jednomiesięczne wdrożenie cieniowe na ruchu Claude Sonnet 4.5 odmówiło 0,05% zapytań, że system produkcyjny zużywał około jednej czterdziestej mocy obliczeniowej klasyfikatora pojedynczej wymiany, z którym go porównywano, oraz że 1736 godzin ludzkiego red-teamingu nie przyniosło żadnego uniwersalnego jailbreaka. Nikomu nie wyrządzono szkody i nie twierdzi się, że doszło do ataku: to obrona, którą się opisuje i mierzy, a nie ujawniane włamanie. Archiwum rejestruje ten epizod jako zapis zarządczy z datą o dokładności do dnia 30 stycznia 2026 r., oceną pewności A i bez odnotowanej szkody, obok pozostałych wpisów dotyczących bezpieczeństwa AI w Orca AI Incident Archive.

Data archiwum nie jest datą publikacji

Oba cytowane źródła są ze sobą zgodne — co stanowi podstawę oceny A archiwum — ale żadne z nich nie jest datowane na 30 stycznia 2026 r. Wpis badawczy „Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks” ma w metadanych strony znacznik czasu publikacji 9 stycznia 2026 r. Artykuł „Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks” został przesłany 8 stycznia 2026 r. o 05:16 UTC i od tego czasu nie został zrewidowany na arXiv; wersja cytowana przez archiwum, 2601.04603v1, jest jedyną. Data 30 stycznia jest tu podana jako własne zgłoszenie archiwum z dokładnością do dnia, a nie jako data któregokolwiek z dokumentów.

To ma znaczenie, ponieważ jednolinijkowe podsumowanie archiwum zawiera trzy liczby, które czytelnik prawdopodobnie powtórzy — 40x, 0,05%, ponad 1700 godzin — a każda z nich jest mierzona względem innego punktu odniesienia, niż sugeruje sformułowanie podsumowania. Reszta tego tekstu dotyczy tego, jakie są te punkty odniesienia.

Trzy zmiany, nałożone na siebie

Constitutional Classifiers wprowadzono w lutym 2025 r. jako parę filtrów wytrenowanych na danych syntetycznych wygenerowanych na podstawie spisanej „konstytucji” dozwolonych i zabronionych treści. Pierwsza generacja korzystała z oddzielnego klasyfikatora danych wejściowych oraz klasyfikatora działającego wyłącznie na danych wyjściowych, a w opublikowanym wpisie Anthropic przypisuje jej zmniejszenie skuteczności jailbreaków w modelu bez zabezpieczeń z 86% do 4,4% — blokując około 95% ataków — kosztem 23,7% dodatkowego zużycia mocy obliczeniowej i wzrostu odmów w przypadku nieszkodliwych zapytań o 0,38%.

Artykuł zaczyna się od pokazania, jak można rozdzielić tę parę. Działały dwie klasy ataków. Ataki rekonstrukcyjne rozpraszają szkodliwe żądanie na niewinnie wyglądające fragmenty — przykład z artykułu osadza pytanie w wartościach zwracanych przez funkcje rozproszone w bazie kodu, a następnie instruuje model, aby je złożył — dzięki czemu filtr wejściowy nigdy nie widzi kompletnego żądania. Ataki zaciemniania wyjścia skłaniają model do odpowiadania w kodach podstawieniowych lub metaforach, więc klasyfikator analizujący tylko wyjście odczytuje coś nieszkodliwego; ilustracja z artykułu pokazuje, jak model opisuje wytwarzanie kwasu chlorowodorowego jako połączenie „ognia słońca” i „darów morza”, podczas gdy klasyfikator nigdy nie dowiaduje się, co oznacza zagadka. Ponieważ samo wyjście jest nieinterpretowalne bez wejścia, filtr czytający tylko jedną stronę wymiany nie może dostrzec szkody.

Poniżej przedstawiono trzy zmiany, a artykuł ocenia każdą z nich osobno przed ich połączeniem.

• Wymiana klasyfikatorów. Pojedynczy klasyfikator odczytuje dane wyjściowe modelu w kontekście danych wejściowych, oceniając tokeny w partiach w miarę ich generowania, a buforowanie promptów sprawia, że odtwarzanie jest opłacalne. Testy red teaming prowadzone przez ludzi wykazały 2,2 razy mniej podatności wysokiego ryzyka na próbę jailbreaku niż w przypadku projektu z dwoma klasyfikatorami — ale przy około 50% większym zużyciu mocy obliczeniowej, ponieważ model wielkości Haiku ocenia teraz całą rozmowę.

• Kaskada. Lekki klasyfikator pierwszego etapu przegląda cały ruch i eskaluje do kosztownego drugiego etapu tylko to, co oznaczy. Projekt wykorzystuje właściwość architektury, a nie modelu: ponieważ oznaczona wymiana jest eskalowana, a nie odrzucana, tani etap może mieć wysoki współczynnik fałszywych trafień, co oznacza, że może go obsługiwać słabszy i tańszy model. Anthropic ustawia próg pierwszego etapu tak, aby zdecydowana większość przykładów pochodzących z jego własnych zbiorów danych do testów red team była oznaczana, i przy zmianach w potoku wnioskowania oraz zaktualizowanych modelach raportuje 5,4-krotne zmniejszenie obliczeń w porównaniu z klasyfikatorem pojedynczej wymiany. Około 10% ruchu dociera do drugiego etapu, a pierwszy etap odpowiada za około 77% całkowitego kosztu.

• Liniowe sondy aktywacji. Trzecia zmiana wykorzystuje ponownie arytmetykę, którą model już wykonał. Liniowa sonda odczytuje aktywacje strumienia rezydualnego w każdej warstwie podczas próbkowania tokenów, więc jej koszt krańcowy jest bliski zeru — artykuł podaje, że sonda działająca na wszystkich warstwach w modelu 27B zużywa około 377 tys. FLOPs na token, w porównaniu z około 8 mld dla pojedynczego przejścia w przód modelu 4B. Dwa szczegóły treningowe okazały się istotne: uśrednianie logitów w 16-tokenowym oknie przesuwnym podczas treningu, aby pojedyncza fałszywa aktywacja nie mogła oznaczyć sekwencji, oraz strata ważona softmaxem, która karze pewne fałszywe pozytywy znacznie bardziej niż pewne prawdziwe negatywy. Na statycznym zbiorze około 7000 wymian red-team najlepsza sonda pobiła dodatkowy mały klasyfikator zewnętrzny i niemal dorównała temu z Haiku 4.5. W ensemblu z klasyfikatorem zewnętrznym osiągnęła lepszy wynik niż każdy z nich osobno, a wyjaśnienie w artykule jest najciekawsze: błędy sondy korelują słabiej z błędami klasyfikatora niż błędy dwóch klasyfikatorów między sobą, więc sonda „wydaje się wykorzystywać sygnały uzupełniające te używane przez klasyfikatory zewnętrzne”.

System produkcyjny, we własnych liczbach

To, co wdrożono, łączy dwa poprzednie rozwiązania: liniowa sonda na aktywacjach Claude Sonnet 4.5 sprawdza każdą wymianę podczas generowania, a gdy jej wynik przekroczy próg, wymiana trafia do klasyfikatora drugiego etapu dostrojonego na podstawie Claude Haiku 4.5. W przypadku eskalowanych wymian oba wyniki są łączone w proporcji 0,55 dla sondy do 0,45 dla klasyfikatora. Sonda eskalowała około 5,5% ruchu produkcyjnego.

Anthropic ocenił go w ramach wdrożenia cieniowego na ruchu produkcyjnym Claude Sonnet 4.5 w okresie od 1 grudnia 2025 r. do 1 stycznia 2026 r. Odsetek oznaczeń — udział zapytań odrzuconych — wyniósł 0,05% wobec 0,38% zgłoszonych w przypadku prac pierwszej generacji. W poście na blogu firma opisuje to jako spadek o 87% względem pierwotnych klasyfikatorów i osobno podaje, że system dodaje „około 1% narzutu obliczeniowego, jeśli zostanie zastosowany do ruchu Claude Opus 4.0”.

W tych dwóch zdaniach kryją się trzy zastrzeżenia i żadne z nich nie jest ukrywane przez Anthropic — po prostu łatwo je zgubić, gdy liczby wędrują.

Po pierwsze, porównanie odmów dotyczy 0,38%, wartości opublikowanej dla pierwszej generacji. Tabela 1 w samym artykule podaje wskaźnik odmów w środowisku produkcyjnym dla ponownej implementacji systemu poprzedniej generacji przez Anthropic na poziomie 0,073%, zmierzony w pierwszym tygodniu po wdrożeniu. Obie liczby pochodzą od Anthropic; mierzą różne rzeczy — w jednym przypadku wzrost odmów w odpowiedzi na nieszkodliwe zapytania, w drugim udział odrzuconych zapytań produkcyjnych — a twierdzenie o 87% obliczono na podstawie większej z tych dwóch.

Po drugie, wskaźnik odmów wdrożonego systemu nie jest najniższy w artykule. Tabela 1 podaje 0,038% dla klasyfikatora pojedynczej wymiany i 0,036% dla dwuetapowej kaskady bez sond; system produkcyjny osiąga 0,050%. Wygrywa pod względem kosztu obliczeniowego i odporności, a nie liczby odmów, i jego własna tabela to potwierdza.

Po trzecie, liczba 1% obliczeń i liczba 40x nie są tym samym pomiarem. Wskaźnik 40x odnosi się do pojedynczego klasyfikatora wymiany z trzeciej części artykułu — systemu, który sam był około 50% droższy niż poprzednia generacja. Tabela 1 w artykule, która indeksuje wszystko względem systemu poprzedniej generacji przy 100,0, podaje 150,0 dla tego klasyfikatora wymiany, 27,8 dla dwustopniowej kaskady i 3,5 dla systemu produkcyjnego. Odczytana względem poprzedniej generacji, a nie względem projektu pośredniego, tabela sugeruje około dwudziestodziewięciokrotną redukcję. ~1% z bloga to znowu trzecia podstawa: bezwzględna wartość narzutu zmierzona na ruchu Claude Opus 4.0, zestawiona z 23,7% pierwszej generacji.

Co dowodzi 1736 godzin red-teamingu

Twierdzenie o odporności opiera się na konkretnej definicji i to w tej definicji tkwi sedno argumentu. Członków zespołu red team Anthropic poproszono o opracowanie strategii, które wydobywają szczegółowe odpowiedzi na osiem ustalonych pytań docelowych z zakresu CBRN. Odpowiedź uznaje się za szkodliwą, jeśli rubryka oceny LLM przyzna jej co najmniej połowę szczegółowości odpowiedzi modelu bez zabezpieczeń, a „podatność wysokiego ryzyka” to atak, który udaje się w przypadku więcej niż pięciu z ośmiu. Uniwersalny jailbreak w tej literaturze to strategia działająca w większości zestawu docelowego — coś, co pozwoliłoby komuś podać przepis obcej osobie, zamiast przypadkowo trafić na jedną odpowiedź.

System produkcyjny zgromadził szacunkowo 1736 skumulowanych godzin testowania red team w około 198 000 prób; godziny oszacowano na podstawie logów API w pięciominutowych przedziałach. Znaleziono jedną lukę o wysokim ryzyku, co daje współczynnik wykrywalności 0,005 na tysiąc zapytań, a jej znalezienie zajęło 30 godzin — najdłuższy minimalny czas wykrycia spośród wszystkich systemów opisanych w artykule. Żaden atak nie odpowiedział na wszystkie osiem pytań docelowych z połową szczegółowości modelu bez zabezpieczeń. Wiersz porównawczy to własna reimplementacja poprzedniej generacji z artykułu: 13 luk o wysokim ryzyku w 695 000 zapytań, współczynnik 0,01871 na tysiąc, w tym cztery jailbreaky, które odpowiedziały na każde pytanie docelowe z połową szczegółowości, znalezione średnio w ciągu 27 godzin.

Dwa ograniczenia tego wyniku warto wyrazić wprost. Pierwsze znajduje się w przypisie samego artykułu, dołączonym do sekcji opisującej dwuetapową kaskadę poprzedzającą system sondowania: „specjaliści red team na poziomie eksperckim działający poza naszym programem nagród byli mimo to w stanie odkryć uniwersalne jailbreaky dla tego systemu, choć wymagało to znacznego wysiłku i zautomatyzowanych narzędzi”. Ostateczny system produkcyjny nie był przedmiotem tego przypisu, ale przypis ten dowodzi, że poprzeczka programu nagród Anthropic nie jest pułapem tego, co potrafią zdeterminowani atakujący. Drugie to własny wniosek Anthropic z wpisu na blogu: „żaden system AI obecnie dostępny na rynku nie ma doskonale odpornych zabezpieczeń”. Montana Research Foundation, niezależna organizacja badawcza, która przeanalizowała publikację 21 stycznia 2026 r., ujęła ten sam punkt ostrzej — poprzeczka ośmiu pytań to „poprzeczka wybrana przez obrońcę”, a dwie klasy ataków, które sama Anthropic wymienia, „nadkruszają ją, a nie pokonują”.

Co jeszcze przechodzi

Anthropic wymienia dwie klasy ataków rezydualnych i nie twierdzi, że je zamknął. Ataki rekonstrukcyjne, które rozbijają zapytanie na fragmenty w obrębie kontekstu, oraz obfuskacja wyjścia, która ukrywa odpowiedź za pomocą eufemizmu, metafory lub kodu, to te same techniki, które złamały pierwszą generację; klasyfikator wymiany zdań czyni je trudniejszymi, ale nie niemożliwymi. Praca odnotowuje też koszt podejmowania ataku w ogóle: na GPQA Diamond Claude Opus 4 uzyskał 74,2% bez modyfikacji, 32,3% przy jednym ataku fragmentującym i 49% przy innym. Autorzy nazywają tę zmienność „niepokojącą”, argumentując, że przeciwnik, który zainwestuje w problem, prawdopodobnie znajdzie ataki zachowujące więcej zdolności modelu, a jednocześnie wciąż skutecznie przechodzące.

Późniejsze prace potraktowały oba otwarcia poważnie i są niezależne od Anthropic w sposób, w jaki samo wydanie nie jest.

• Boundary Point Jailbreaking, przesłany do arXiv 16 lutego 2026 r. przez badaczy z brytyjskiego Instytutu Bezpieczeństwa AI i OATML na Uniwersytecie Oksfordzkim, opisuje w pełni czarnoskrzynkowy automatyczny atak, który wymaga tylko jednego bitu na zapytanie — oznaczone lub nieoznaczone — i przedstawia go jako „pierwszy w pełni automatyczny algorytm ataku, któremu udaje się opracować uniwersalne jailbreaky przeciwko Constitutional Classifiers”. Jego celem był klasyfikator strzegący Claude Sonnet 4.5 na dzień 27 listopada 2025 r., który artykuł przypisuje pracom pierwszej generacji z 2025 r., a nie kaskadzie sond; artykuł przekazuje również wstępne ustalenie Anthropic, że klasyfikatory oparte na sondach „mogą być bardziej odporne na ten typ ataku niż klasyfikator tekstowy” oraz że trenowanie na ciągach ataku poprawia wykrywanie.

• Trojan-Speak, przesłany 30 marca 2026 r. przez autorów z Anthropic Fellows Program i Virginia Tech, atakuje z innego kierunku: wrogie dostrajanie, które uczy model kodowania niemożliwego do odczytania przez klasyfikator, i odnotowuje ponad 99% omijania klasyfikatora dla modeli o 14B parametrów i większych przy utracie zdolności poniżej 5%, w przypadku pytań CBRN ze zbioru bug-bounty. Zauważa, że kaskada probe-first nadal pozostawia „klasyfikator LLM” podejmujący ostateczną decyzję o blokowaniu, i stwierdza, że sondy aktywacyjne znacznie poprawiają odporność na atak kodowania.

Żadna z tych dwóch prac nie kwestionuje liczb opublikowanych przez Anthropic dotyczących własnego wdrożenia. Obie traktują kaskadę jako punkt odniesienia do pobicia. To więcej wnikliwości, niż publikacja przyciągnęła gdzie indziej: przeszukanie indeksów informacyjnych w oknie publikacyjnym nie ujawniło żadnych materiałów głównych mediów na temat wpisu z 9 stycznia, a poza tymi dwoma pracami jedyną niezależną analizą znalezioną na potrzeby tego artykułu jest analiza Montana Research Foundation, opublikowana 21 stycznia 2026 r.

Dlaczego archiwum klasyfikuje to jako zarządzanie

Rodzaj rekordu to polityka, jego znacznik typu to GOV, a waga to info, co brzmi dziwnie w przypadku artykułu o architekturze klasyfikatora, dopóki nie spojrzy się na to, co faktycznie jest rejestrowane. Nie ma ofiary, terminu ujawnienia ani populacji dotkniętej poza osobami, których zapytania ocenia filtr. Dokumenty zawierają opis architektury opublikowany przez dostawcę, pomiar wdrożenia oraz protokół red teamingu w wystarczająco szczegółowej formie, by ktoś inny mógł sprawdzić arytmetykę — a w podziękowaniach wymieniają zewnętrzne organizacje, które prowadziły red teaming wcześniejszych wersji: UK AISI, US CAISI i FAR.AI, przy czym HackerOne operacyjnie prowadziło program bounty.

Z punktu widzenia ładu liczy się krzywa kosztów. Zabezpieczenie, które podnosi cenę każdego zapytania o jedną czwartą, to takie, o którego wyłączeniu zespół produktowy będzie dyskutował; analiza z Montany dokładnie to podkreśla, pisząc, że przy 23,7% zespół ds. bezpieczeństwa musiał uzasadniać jego włączenie, a przy około 1% „zespół produktowy musi uzasadniać jego wyłączenie”. Czy liczba ta utrzymuje się poza własnym środowiskiem technologicznym Anthropic, to otwarte pytanie, a ta sama analiza określa test: sonda odczytuje aktywacje, aktywacje są specyficzne dla modelu, a „jeśli tak nie jest, to wynik Anthropic”.

To, czego nie zawiera dokumentacja, to jakiekolwiek dowody na to, że system zawiódł w środowisku produkcyjnym. W żadnym z przywołanych dokumentów nie występuje incydent, obejście zabezpieczeń ani szkoda dla użytkownika, a archiwum rejestruje rzeczywistą szkodę jako null. Źródła wciąż nie wyjaśniają daty złożenia 30 stycznia; opisana w nim praca jest datowana na 8 i 9 stycznia 2026 r.