Jailbreaking w punkcie granicznym: jak AISI złamało dwa filtry czołowych modeli AI jednym bitem na zapytanie

17 lutego 2026 r. brytyjski AI Security Institute opublikował Boundary Point Jailbreaking — zautomatyzowaną metodę, która nauczyła się omijać dwa z najsilniejszych wdrożonych zabezpieczeń AI, otrzymując jedynie informację, czy każde zapytanie zostało zablokowane. Optymalizuje ona wrogi prefiks umieszczany przed szkodliwym żądaniem, wykorzystując curriculum złożone z mniej zaciemnionych celów oraz przeszukiwanie „punktów granicznych” na granicy decyzyjnej klasyfikatora. Wobec Constitutional Classifiers firmy Anthropic, chroniących Claude Sonnet 4.5, podniosła średnie wyniki rubryk w przypadku niewidzianych pytań dotyczących biologicznego nadużycia z 0% do 25,5% przy około $330 i 660 000 zapytań. Wobec klasyfikatora wejściowego OpenAI dla GPT-5 osiągnęła 75,6% przy około $210. Żaden system nie został naruszony i żadna osoba nie ucierpiała: AI Incident Archive rejestruje to jako rekord badawczy o średnim poziomie istotności, z oceną pewności A, bez dołączonych zastrzeżeń. Sam rekord, jego lista cytowań i powiązane z nim wpisy badawcze są przechowywane w Orca AI Incident Archive, który bezpośrednio linkuje zarówno wpis AISI, jak i artykuł na arXiv.

Co atak optymalizuje i co wolno mu widzieć

Artykuł to Jailbreaking w punkcie granicznym czarnoskrzynkowych LLM-ów, autorstwa Xandera Daviesa, Giorgiego Giglemianiego, Edmunda Laua, Erica Winsora, Geoffreya Irvinga i Yariny Gal — zamieszczony na arXiv 16 lutego 2026 r., poprawiony dwa dni później i ogłoszony przez AISI w dniu pomiędzy. Jego wkład to nie nowy ciąg jailbreaku, lecz procedura wyszukiwania służąca do znalezienia go przy celowo skąpym budżecie informacyjnym.

Wcześniejsze zautomatyzowane ataki, jak opisują je autorzy, opierały się na dostępie typu white-box lub grey-box: wynikach klasyfikatora, gradientach albo bibliotece jailbreaków, którą ktoś już wcześniej napisał. BPJ zakłada atakującego, który ma wyłącznie dostęp do API i pojedynczy bit na zapytanie — oznaczone lub nieoznaczone. Ten bit jest całym sygnałem obiektywnym, a każda część metody istnieje po to, by wycisnąć z niego informację o rankingu.

• Optymalizowanym obiektem jest prefiks. Sekwencja tokenów o ograniczonej długości jest dołączana przed szkodliwym celem, a wyszukiwanie mutuje ją, zastępując, wstawiając lub usuwając po jednym tokenie naraz. Prefiks jest optymalizowany raz, a następnie stosowany do pytań, na których nigdy nie był dostrajany; to przeniesienie jest tym, do czego odnosi się słowo „uniwersalny”.

• Program nauczania zamienia jeden trudny cel w drabinę. Znaki w szkodliwym ciągu są losowo zastępowane znakami szumu, a trudność jest parametryzowana przez odsetek zniekształconych znaków. Przy wysokim poziomie zniekształcenia klasyfikator widzi niemal śmieci i łatwo go oszukać; w miarę powodzenia ataku zniekształcenie jest zmniejszane stopniowo, aż oryginalny szkodliwy ciąg jest przepuszczany bez modyfikacji.

• Punkty graniczne to sztuczka rankingowa. Dla każdego kandydata na cel metoda próbkuje zaszumione warianty i zachowuje tylko te, w których populacja kandydackich prefiksów nie jest ze sobą zgodna — niektóre są oznaczone, niektóre nie. Cele, które wszyscy rozwiązują albo których nikt nie rozwiązuje, nic nie mówią o tym, który prefiks jest lepszy, i są odrzucane. To właśnie ten element sprawia, że jeden bit na zapytanie wystarcza.

• Samo wyszukiwanie jest elitarną pętlą ewolucyjną. Wybierz prefiks rodzica, zmutuj jeden token, oceń potomka według tego, ile bieżących punktów granicznych rozwiązuje, i zachowaj go, jeśli przewyższa co najmniej jednego z obecnych.

Ablacja jest najwyraźniejszym dowodem, że wybór punktów granicznych odgrywa kluczową rolę: BPJ zbiegał się około pięć razy szybciej niż ten sam program nauczania z losowymi zestawami ewaluacyjnymi, a baseline best-of-N z losowymi prefiksami nigdy nie zbiegł się w ramach budżetu. Autorzy uruchomili również pipeline na tanim klasyfikatorze GPT-4.1-nano sterowanym promptami, optymalizując na pojedynczym pytaniu HarmBench i powtarzając to na pięciu — przebiegi po około 25 000 do 30 000 zapytań każdy — i stwierdzili, że wynikowy prefiks przeniósł się na pełny zestaw HarmBench, w tym na tematy spoza kategorii pierwotnego pytania.

Dwa cele i co tak naprawdę mierzą te wartości procentowe

Testy frontier wykorzystywały Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, na dzień 27 listopada 2025) za Constitutional Classifiers oraz gpt-5 za klasyfikatorem wejściowym OpenAI (na dzień 6–7 listopada 2025). W obu przypadkach autorzy dotarli do klasyfikatora pośrednio, wysyłając zapytania przez produkt i sprawdzając, czy odpowiedź wróciła jako odmowa lub oznaczenie.

Ten sposób konfiguracji ma znaczenie przy odczytywaniu liczb. „Score” nie jest binarnym rozstrzygnięciem; jest obliczany dla każdego pytania przez rubrykę oceny, która sprawdza, czy w odpowiedzi pojawiają się określone szczegóły techniczne, a raportowane średnie wykluczają puste wyniki. Max@50 to najlepszy wynik spośród pięćdziesięciu prób na jedno pytanie. Średnia 25,5% nie oznacza zatem „jednej udanej próby na cztery” — to średnia jakość według rubryki odpowiedzi, które w ogóle zostały wygenerowane.

Na tle własnej historii tej obrony wynik wciąż jest uderzający. Constitutional Classifiers wcześniej wytrzymały ponad 3700 godzin ludzkiego red-teamingu w ponad 300 000 interakcji czatowych, przy czym w tym czasie znaleziono tylko jeden w pełni udany, kierowany przez człowieka uniwersalny jailbreak. Anthropic poinformował AISI, że BPJ spełniłby próg uniwersalnego jailbreaku opisany w jego programie bug bounty.

Klasyfikator danych wejściowych GPT-5 wypadł znacznie słabiej w obliczu tego samego ataku: średnio 75,6% i 94,3% w najlepszym z pięćdziesięciu przypadków, wobec 25,5% i 39,9% dla Constitutional Classifiers, rosnąc do 68% i 80,4% po zastosowaniu podstawowego promptowania wydobywającego nałożonego na prefiks.

Obie firmy ujęły wynik własnymi słowami, jak cytuje AISI. Anthropic potwierdziło, że BPJ to pierwszy znany mu w pełni zautomatyzowany atak typu black-box, który odniósł sukces w środowisku Constitutional Classifiers. OpenAI potwierdziło, że jest to pierwszy znany mu zautomatyzowany atak, który odniósł sukces przeciwko jego klasyfikatorowi danych wejściowych dla GPT-5 bez polegania na atakach z ludzkimi seedami. Oba oświadczenia ograniczają się do tego, co wie każda z firm, i żadne z nich nie zostało opublikowane przez firmę jako samodzielny komunikat doradczy.

To koszt jest sednem sprawy, a nie procent.

Średnia 25,5% byłaby niczym szczególnym w większości prac o jailbreakach. Tym, co czyni ten rekord przełomowym wpisem w archiwum, jest stosunek możliwości do budżetu: od dwustu do trzystu dolarów i około półtora miliona zapytań wobec obu celów, w przypadku ataku, który działa bez nadzoru i nie wymaga człowieka w pętli.

Przed BPJ obowiązującym założeniem stojącym za obronami opartymi na klasyfikatorach było to, że znalezienie uniwersalnego jailbreaka wymagało długotrwałego, umiejętnego wysiłku ludzkiego — liczba 3 700 godzin jest najwyraźniejszym wyrazem tego założenia. BPJ zastępuje red team pętlą wyszukiwania, która odczytuje pojedynczą wartość logiczną i ją poprawia. Obrona nadal działa przez większość czasu; zmieniła się ekonomika atakowania jej.

Oba laboratoria zakwestionowały najsilniejszą interpretację, a AISI w swoim wpisie przytacza ich zastrzeżenia, zamiast je ukrywać. Anthropic zauważyło, że BPJ wymagało miesięcy prac badawczo-rozwojowych oraz że Constitutional Classifiers zaprojektowano tak, by opierały się mniej wykwalifikowanym podmiotom, które dysponują mniejszym budżetem zapytań, poświęcają mniej czasu na opracowywanie ataków i miałyby trudności z wdrożeniem szczegółów tej metody. To twierdzenie o tym, kto może odtworzyć BPJ, a nie o tym, czy ona działa.

Dlaczego obrona musi się liczyć w rozmowach

Najistotniejsze zdanie we wpisie AISI to nie odsetek sukcesów. To obserwacja, że BPJ jest „trudny do obrony w pojedynczych interakcjach, ale podczas optymalizacji generuje wiele flag”, a zatem skuteczna obrona wymaga uzupełnienia metod opartych na pojedynczych interakcjach monitorowaniem na poziomie partii.

Asymetria ma charakter strukturalny, a nie przypadkowy. Klasyfikator działający na poziomie pojedynczej rozmowy musi wydawać osąd dla jednego wejścia naraz, a prefiks wybrany tak, by znajdować się blisko granicy decyzyjnej, jest celowo dobierany tak, aby ten osąd był nieznacznie błędny. Monitoring na poziomie partii patrzy na inny obiekt: ruch. Przebieg optymalizacji, który zużywa 660 000 zapytań, musi po drodze wywołać ogromną liczbę flag, a te flagi są widoczne, nawet gdy żadna pojedyncza rozmowa nie jest obciążająca.

Komentarz samego OpenAI skierowany do AISI jest praktyczną wersją tego argumentu. Wskazano w nim, że opracowanie i wykonanie BPJ odbywało się na kontach nieobjętych działaniami egzekwującymi, takimi jak banowanie, oraz że na standardowych kontach powtarzające się flagi prawdopodobnie prowadziłyby do banów kont — co OpenAI opisało jako przykład dokładnie takiego monitorowania na poziomie partii, jakie zaleca AISI. Kontrola, która wychwyciłaby ten atak, to nie lepszy klasyfikator, lecz kontrola na poziomie konta.

Co autorzy twierdzą, że atak nie może zrobić

BPJ atakuje klasyfikator danych wejściowych, a nie model. W obu konfiguracjach frontier autorzy użyli prostego, znalezionego przez człowieka jailbreaka, aby ominąć własne odmowy głównego modelu, więc zmierzone wyniki opisują, co dzieje się, gdy klasyfikator został pokonany, a model nadal jest skłonny odpowiadać. Nic w artykule nie pokazuje, że BPJ bezpośrednio pokonuje trening odmowy modelu.

• Nie jest to dyskretne. Autorzy wprost stwierdzają, że ataki BPJ powodują dużą liczbę oznaczeń przez klasyfikator, co w realistycznych warunkach skutkowałoby banami.

• Jest żądny zapytań. Opublikowane przebiegi kosztowały 660 000 i 800 000 zapytań. To realna bariera dla okazjonalnego użytku i wyraźny sygnał dla każdego, kto obserwuje ruch.

• Zakłada się klasyfikator niemal deterministyczny. Autorzy wprost nie rozważają konfiguracji z wysoce stochastycznymi klasyfikatorami.

• Metoda jest częściowo utajniona. Aby ograniczyć ryzyko proliferacji, artykuł pomija istotne szczegóły algorytmiczne i nie udostępnia ani ciągów ataku, ani kodu. To wybór, który można obronić, a także powód, dla którego wyniku nie można niezależnie odtworzyć wyłącznie na podstawie publikacji.

Co w tej sprawie zrobiono, a co nie zostało ustalone

AISI twierdzi, że udostępniło wyniki obu firmom przed publikacją, że obie odtworzyły atak we współpracy z instytutem oraz że obie opracowały środki łagodzące specyficzne dla BPJ. W artykule stwierdzono, że ujawnienie nastąpiło co najmniej sześć tygodni przed publikacją. We wpisie nie podano żadnych szczegółów technicznych tych środków łagodzących ani nie powiedziano, kiedy zostały wdrożone lub jak je zweryfikowano.

To zarazem granica tego, co ten artykuł może potwierdzić. Ocena wiarygodności A w rekordzie odzwierciedla jakość dokumentacji, a nie niezależny test ataku: dokumenty źródłowe są dwa i pochodzą z tej samej organizacji. Potwierdzenia Anthropic i OpenAI trafiają do rekordu za pośrednictwem relacji AISI, a nie poprzez dokumenty, które ten artykuł mógłby przeczytać bezpośrednio. Relacje poza AISI powtarzają wpis na blogu — publikacje branżowe z It Does What Now? i Resultsense powtarzają liczby bez niezależnych testów — a wyszukiwania na potrzeby tego artykułu nie znalazły żadnych oryginalnych doniesień prasy głównego nurtu o tym wyniku.

Nic w dokumentacji nie wskazuje na to, że BPJ wykorzystano przeciwko działającemu systemowi poza testem, a archiwum nie odnotowuje żadnych szkód w rzeczywistym świecie. Artykuł jest preprintem na arXiv, a nie publikacją recenzowaną. Twierdzenia o „pierwszeństwie” są starannie zawężane przez laboratoria, które je sformułowały — „pierwsze, o którym wiedzą” — i należy je tak czytać, a nie jako absolut.

Jeszcze jedno ograniczenie łatwo zinterpretować zbyt szeroko. Celami były konfiguracje aktualne w listopadzie 2025 r., a wpis AISI nie wymienia żadnego zabezpieczenia nowszego niż dwa, które zaatakowano. Ten zapis nie mówi, jak Constitutional Classifiers i filtrowanie danych wejściowych OpenAI wyglądają po środkach łagodzących specyficznych dla BPJ — a ani blog, ani artykuł nie twierdzą, że późniejsze zabezpieczenia pozostają podatne na ten sam prefiks.

Trwałe ustalenie dotyczy tego, gdzie umieścić obronę. Klasyfikator oceniający jedną rozmowę naraz nie jest właściwie skonstruowany w przypadku atakującego, któremu pozwala się na setki tysięcy prób, ponieważ to sam proces poszukiwań ataku go demaskuje. Zalecenie AISI, by obserwować całą partię, a nie pojedynczą wiadomość, wynika z mechaniki ataku i pozostaje słuszne niezależnie od tego, czy BPJ kiedykolwiek zostanie ponownie użyty.