Constitutional Classifiers++: nenhum jailbreak universal em 1.736 horas de red team

A Anthropic publicou a segunda geração de suas defesas contra jailbreak para o Claude — Constitutional Classifiers++ — em uma publicação de pesquisa datada de 9 de janeiro de 2026 e em um artigo de 29 autores submetido ao arXiv em 8 de janeiro de 2026. O projeto coloca uma sonda linear nas próprias ativações internas do modelo, à frente de um classificador mais pesado que lê cada resposta no contexto do prompt, e a Anthropic relata que uma implantação sombra de um mês no tráfego do Claude Sonnet 4.5 recusou 0,05% das consultas, que o sistema de produção usou aproximadamente um quarenta avos do poder computacional do classificador de troca única com o qual foi comparado, e que 1.736 horas de red-teaming humano não produziram nenhum jailbreak universal. Nada foi prejudicado e nenhum ataque é alegado: trata-se de uma defesa sendo descrita e medida, não de uma intrusão sendo divulgada. O arquivo registra o episódio como um registro de governança com uma data de 30 de janeiro de 2026 com precisão de dia, um grau de confiança A e nenhum dano registrado, ao lado do restante de suas entradas de segurança de IA no Orca AI Incident Archive.

A data do arquivo não é a data de publicação

As duas fontes citadas concordam entre si — a base para a nota A do arquivo —, mas nenhuma delas tem data de 30 de janeiro de 2026. A publicação de pesquisa "Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks" traz um carimbo de data e hora de publicação de 9 de janeiro de 2026 em seus metadados de página. O artigo "Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks" foi submetido em 8 de janeiro de 2026 às 05:16 UTC e não foi revisado no arXiv desde então; a versão citada pelo arquivo, 2601.04603v1, é a única. A data de 30 de janeiro é relatada aqui como o registro de precisão diária do próprio arquivo, não como a data de qualquer um dos documentos.

Isso importa porque o resumo de uma linha do arquivo traz três números que um leitor provavelmente vai repetir — 40x, 0,05%, mais de 1.700 horas — e cada um é medido em relação a uma base de comparação diferente da que a formulação do resumo sugere. O restante deste texto trata do que são essas bases.

Três alterações, empilhadas

Os Classificadores Constitucionais foram introduzidos em fevereiro de 2025 como um par de filtros treinados em dados sintéticos gerados a partir de uma "constituição" escrita de conteúdo permitido e proibido. Essa primeira geração executava um classificador de entrada separado e um classificador apenas de saída, e o próprio artigo da Anthropic atribui a ele a redução do sucesso de jailbreak em um modelo sem defesa de 86% para 4,4% — bloqueando cerca de 95% dos ataques — a um custo de 23,7% de computação extra e um aumento de 0,38% nas recusas a consultas inofensivas.

O artigo começa mostrando como esse par poderia ser desmontado. Duas classes de ataque funcionaram. Ataques de reconstrução espalham uma solicitação prejudicial por fragmentos de aparência benigna — o exemplo do artigo insere uma pergunta nos valores de retorno de funções distribuídas por uma base de código e então instrui o modelo a remontá-la — de modo que o filtro de entrada nunca vê uma solicitação completa. Ataques de ofuscação de saída fazem o modelo responder em códigos de substituição ou metáfora, de modo que um classificador apenas de saída lê algo anódino; a ilustração do artigo tem um modelo descrever a fabricação de ácido clorídrico como a união de "fogo do sol" e "presente do mar", enquanto o classificador nunca descobre o que o enigma decodifica. Como a saída sozinha é ininterpretável sem a entrada, um filtro que lê apenas um lado da troca não consegue ver o dano.

Seguem-se três alterações, e o artigo avalia cada uma separadamente antes de combiná-las.

• Troque os classificadores. Um único classificador lê a saída do modelo no contexto da entrada, pontuando tokens em lotes à medida que são gerados, com o cache de prompt tornando a reprodução viável. O red-teaming humano encontrou 2,2 vezes menos vulnerabilidades de alto risco por tentativa de jailbreak do que o design de classificador duplo — mas com cerca de 50% mais computação, já que um modelo do tamanho do Haiku agora avalia toda a conversa.

• Uma cascata. Um classificador de primeiro estágio leve faz a triagem de todo o tráfego e encaminha apenas o que sinaliza para o caro segundo estágio. O design explora uma propriedade da arquitetura, e não do modelo: como uma troca sinalizada é encaminhada em vez de recusada, o estágio barato pode ter uma alta taxa de falsos positivos, o que significa que um modelo mais fraco e mais barato pode executá-lo. A Anthropic define o limiar do primeiro estágio de modo que a grande maioria dos exemplos extraídos de seus próprios conjuntos de dados de red teaming seja sinalizada e, com mudanças no pipeline de inferência e modelos atualizados, relata uma redução de 5,4 vezes na computação em relação ao classificador de troca única. Cerca de 10% do tráfego chega ao segundo estágio, e o primeiro estágio responde por aproximadamente 77% do custo total.

• Sondas de ativação lineares. A terceira mudança reutiliza a aritmética que o modelo já realizou. Uma sonda linear lê as ativações do fluxo residual em cada camada à medida que os tokens são amostrados, então seu custo marginal é próximo de zero — o artigo estima uma sonda de todas as camadas em um modelo de 27B em cerca de 377K FLOPs por token, contra cerca de 8B para uma única passagem direta de um modelo de 4B. Dois detalhes de treinamento se mostraram importantes: a média dos logits em uma janela deslizante de 16 tokens durante o treinamento, para que uma única ativação espúria não possa sinalizar uma sequência, e uma perda ponderada por softmax que penaliza falsos positivos confiantes muito mais do que verdadeiros negativos confiantes. Em um conjunto estático de cerca de 7.000 trocas de red-team, a melhor sonda superou o classificador externo extrapequeno e quase igualou o do Haiku 4.5. Combinada em ensemble com um classificador externo, ela teve desempenho melhor do que qualquer um isoladamente, e a explicação do artigo é a parte interessante: os erros da sonda se correlacionam menos com os do classificador do que os erros de dois classificadores entre si, então a sonda "parece aproveitar sinais que complementam aqueles usados por classificadores externos".

O sistema de produção, em seus próprios números

O que foi lançado combina as duas últimas abordagens: uma sonda linear sobre as ativações do Claude Sonnet 4.5 examina cada troca durante a geração e, quando sua pontuação ultrapassa um limite, a troca é encaminhada a um classificador de segundo estágio ajustado a partir do Claude Haiku 4.5. Para as trocas escaladas, as duas pontuações são combinadas com peso 0,55 para a sonda e 0,45 para o classificador. A sonda escalou cerca de 5,5% do tráfego de produção.

A Anthropic avaliou-o numa implantação sombra sobre o tráfego de produção do Claude Sonnet 4.5 entre 1 de dezembro de 2025 e 1 de janeiro de 2026. A taxa de sinalização — a proporção de consultas recusadas — foi de 0,05%, contra os 0,38% relatados pelo trabalho de primeira geração. No artigo do blog, a empresa descreve isso como uma queda de 87% em relação aos classificadores originais e afirma separadamente que o sistema acrescenta "aproximadamente 1% de sobrecarga computacional se aplicado ao tráfego do Claude Opus 4.0".

Três ressalvas estão dentro dessas duas frases, e nenhuma delas é ocultada pela Anthropic — elas simplesmente se perdem facilmente quando os números viajam.

Primeiro, a comparação de recusas é feita com 0,38%, o número publicado para a primeira geração. A própria Tabela 1 do artigo lista a taxa de recusa em produção da reimplementação da Anthropic do sistema da última geração em 0,073%, medida na primeira semana após a implantação. Ambos os números são da Anthropic; eles medem coisas diferentes — um aumento de recusas em consultas inofensivas em um caso, uma parcela de consultas de produção recusadas no outro — e a alegação de 87% é calculada a partir do maior dos dois.

Segundo, a taxa de recusa do sistema implantado não é a mais baixa do artigo. A Tabela 1 apresenta 0,038% para o classificador de troca única e 0,036% para a cascata de dois estágios sem sondas; o sistema de produção é 0,050%. Ele ganha em computação e em robustez, não em recusas, e sua própria tabela diz isso.

Terceiro, o número de 1% de computação e o número de 40x não são a mesma medida. O 40x é em relação ao classificador de troca única da terceira seção do artigo — um sistema que, por si só, era cerca de 50% mais caro que a geração anterior. A Tabela 1 do artigo, que indexa tudo ao sistema da última geração em 100,0, dá 150,0 para esse classificador de troca, 27,8 para a cascata de dois estágios e 3,5 para o sistema de produção. Lido em relação à geração anterior, e não ao design intermediário, a tabela implica uma redução de cerca de vinte e nove vezes. O ~1% do blog é ainda uma terceira base: um número absoluto de sobrecarga medido no tráfego do Claude Opus 4.0, colocado ao lado dos 23,7% da primeira geração.

O que 1.736 horas de red-teaming estabelecem

A alegação de robustez baseia-se numa definição específica, e é na definição que o argumento reside. Pediu-se às equipes de red team da Anthropic que construíssem estratégias capazes de extrair respostas detalhadas para oito perguntas-alvo fixas de CBRN. Uma resposta é considerada nociva se uma rubrica de LLM a pontuar com pelo menos metade do detalhe de uma resposta de um modelo sem salvaguardas, e uma "vulnerabilidade de alto risco" é um ataque que obtém sucesso em mais de cinco das oito. Um jailbreak universal, nesta literatura, é uma estratégia que funciona na maior parte do conjunto-alvo — aquilo que permitiria a alguém entregar uma receita a um estranho em vez de acertar uma resposta por sorte.

O sistema de produção acumulou uma estimativa de 1.736 horas de red-teaming em cerca de 198.000 tentativas, com horas estimadas a partir de registos da API em intervalos de cinco minutos. Foi encontrada uma vulnerabilidade de alto risco, uma taxa de descoberta de 0,005 por mil consultas, e foram necessárias 30 horas para a encontrar — o maior tempo mínimo de descoberta de qualquer sistema no artigo. Nenhum ataque respondeu a todas as oito perguntas-alvo com metade do detalhe de um modelo sem defesa. A linha de comparação é a própria reimplementação da última geração do artigo: 13 vulnerabilidades de alto risco em 695.000 consultas, uma taxa de 0,01871 por mil, incluindo quatro jailbreaks que responderam a todas as perguntas-alvo com metade do detalhe, encontrados em média em 27 horas.

Dois limites desse resultado merecem ser ditos com clareza. O primeiro está na própria nota de rodapé do artigo, anexada à seção que descreve a cascata de dois estágios que precedeu o sistema de sondagem: "especialistas em red team de nível especializado que atuavam fora do nosso programa de recompensas conseguiram, ainda assim, descobrir jailbreaks universais para este sistema, embora isso exigisse esforço substancial e ferramentas automatizadas." O sistema de produção final não foi objeto dessa nota de rodapé, mas a nota estabelece que o patamar de recompensas da Anthropic não é o teto do que atacantes determinados conseguem fazer. O segundo é a própria conclusão da Anthropic no post do blog: "nenhum sistema de IA atualmente no mercado tem defesas perfeitamente robustas." A Montana Research Foundation, organização de pesquisa independente que analisou o lançamento em 21 de janeiro de 2026, colocou o mesmo ponto de forma mais incisiva — o patamar de oito perguntas é "um patamar escolhido pelo defensor", e as duas classes de ataque que a própria Anthropic nomeia "desgastam-no em vez de superá-lo".

O que ainda passa

A Anthropic nomeia duas classes residuais de ataque e não afirma tê-las eliminado. Ataques de reconstrução, que fragmentam uma solicitação ao longo de um contexto, e a ofuscação de saída, que disfarça uma resposta em eufemismo, metáfora ou código, são as mesmas técnicas que quebraram a primeira geração; o classificador de intercâmbio as torna mais difíceis, não impossíveis. O artigo também registra o custo de atacar em si: no GPQA Diamond, o Claude Opus 4 pontuou 74,2% sem modificação, 32,3% sob um ataque de fragmentação e 49% sob outro. Os autores chamam essa variabilidade de "preocupante", com o raciocínio de que um adversário que investe no problema provavelmente consegue encontrar ataques que preservam mais da capacidade do modelo enquanto ainda passam.

Trabalho posterior levou a sério ambas as aberturas e é independente da Anthropic de uma forma que o próprio lançamento não é.

• Boundary Point Jailbreaking, submetido ao arXiv em 16 de fevereiro de 2026 por pesquisadores do Instituto de Segurança de IA do Reino Unido e do OATML de Oxford, descreve um ataque automatizado totalmente de caixa preta que precisa de apenas um bit por consulta — sinalizado ou não sinalizado — e o apresenta como "o primeiro algoritmo de ataque totalmente automatizado que consegue desenvolver jailbreaks universais contra Classificadores Constitucionais". Seu alvo era o classificador que protegia o Claude Sonnet 4.5 em 27 de novembro de 2025, o qual o artigo associa ao trabalho de primeira geração de 2025, e não à cascata de sondas; o artigo também relata a descoberta preliminar da Anthropic de que classificadores baseados em sondas "podem ser mais resistentes a esse tipo de ataque do que classificadores baseados em texto", e que o treinamento com as strings de ataque melhora a detecção.

• Trojan-Speak, submetido em 30 de março de 2026 por autores do Anthropic Fellows Program e da Virginia Tech, ataca por uma direção diferente: ajuste fino adversarial que ensina a um modelo uma codificação que o classificador não consegue ler, relatando mais de 99% de evasão do classificador para modelos de 14B parâmetros ou mais, com menos de 5% de perda de capacidade, nas perguntas de CBRN do conjunto de bug bounty. Observa que a cascata com sondagem primeiro ainda deixa "o classificador LLM" tomar a decisão final de bloqueio, e constata que sondas de ativação melhoram substancialmente a robustez contra o ataque de codificação.

Nenhum dos dois artigos contesta os números que a Anthropic publicou para a sua própria implementação. Ambos tratam a cascata como o alvo a superar. Trata-se de mais escrutínio do que a divulgação recebeu noutros lugares: uma busca em índices de notícias referente à janela de publicação não revelou qualquer cobertura, por veículos da grande imprensa, da publicação de 9 de janeiro e, além destes dois artigos, a única análise independente localizada para este artigo é a da Montana Research Foundation, publicada em 21 de janeiro de 2026.

Por que o arquivo classifica isto como governança

O tipo do registro é política, sua etiqueta de tipo é GOV e sua severidade é info, o que soa estranho para um artigo sobre arquitetura de classificador até você olhar para o que está de fato sendo registrado. Não há vítima, prazo de divulgação nem população afetada além das pessoas cujas consultas o filtro pontua. O que os documentos contêm é um fornecedor publicando uma arquitetura, uma medição de implantação e um protocolo de red teaming com detalhe suficiente para outra pessoa conferir a aritmética — e, nos agradecimentos, nomeando as organizações externas que fizeram red teaming de versões anteriores: UK AISI, US CAISI e FAR.AI, com a HackerOne operando o programa de recompensas na prática.

O interesse da governança é a curva de custo. Uma salvaguarda que acrescenta 25% ao preço de cada consulta é algo que uma equipe de produto discute desligar; a análise de Montana faz exatamente esse ponto, escrevendo que, a 23,7%, a equipe de segurança tinha de justificar ativá-la, e a cerca de 1%, "a equipe de produto tem de justificar desativá-la". Se o número se sustenta fora da própria stack da Anthropic é a questão em aberto, e a mesma análise enuncia o teste: a sonda lê ativações, ativações são específicas do modelo, e "se não forem, é um resultado da Anthropic".

O que o registro não contém é qualquer evidência de que o sistema falhou em produção. Nenhum incidente, nenhum bypass, nenhum dano ao usuário aparece em nenhum dos documentos citados, e o arquivo registra dano real como nulo. A data de protocolo de 30 de janeiro permanece inexplicada pelas fontes; o trabalho que ela descreve está datado de 8 e 9 de janeiro de 2026.