Jailbreaking por Ponto de Fronteira: Como o AISI Quebrou Dois Filtros de IA de Fronteira Com Um Bit Por Consulta

Em 17 de fevereiro de 2026, o UK AI Security Institute publicou Boundary Point Jailbreaking, um método automatizado que aprendeu a contornar duas das mais fortes defesas de IA implantadas, sendo informado apenas se cada consulta foi bloqueada. Ele otimiza um prefixo adversarial colocado antes de uma solicitação prejudicial, usando um currículo de alvos menos ofuscados e uma busca por "pontos de fronteira" na borda de decisão de um classificador. Contra os Constitutional Classifiers da Anthropic, que protegem o Claude Sonnet 4.5, elevou as pontuações médias da rubrica em perguntas inéditas sobre uso indevido biológico de 0% para 25,5% por cerca de US$ 330 e 660.000 consultas. Contra o classificador de entrada da OpenAI para o GPT-5, alcançou 75,6% por cerca de US$ 210. Nenhum sistema foi violado e nenhuma pessoa foi ferida: o AI Incident Archive registra isso como um registro de pesquisa de gravidade média, grau de confiança A, sem disputa anexada. O próprio registro, sua lista de citações e as entradas de pesquisa arquivadas em torno dele estão no Orca AI Incident Archive, que vincula diretamente tanto a postagem do AISI quanto o artigo do arXiv.

O que o ataque otimiza e o que ele tem permissão para ver

O artigo é Jailbreaking por Ponto de Fronteira de LLMs de Caixa-Preta, de Xander Davies, Giorgi Giglemiani, Edmund Lau, Eric Winsor, Geoffrey Irving e Yarin Gal — publicado no arXiv em 16 de fevereiro de 2026, revisado dois dias depois, e anunciado pela AISI no dia intermediário. Sua contribuição não é uma nova string de jailbreak, mas um procedimento de busca para encontrá-la sob um orçamento de informação deliberadamente escasso.

Ataques automatizados anteriores, como os autores os descrevem, baseavam-se em acesso white-box ou grey-box: pontuações de classificador, gradientes ou uma biblioteca de jailbreaks que alguém já havia escrito. O BPJ presume um atacante com nada além de acesso à API e um único bit por consulta — sinalizado ou não sinalizado. Esse bit é todo o sinal objetivo, e cada parte do método existe para extrair informações de ranking dele.

• O objeto que está sendo otimizado é um prefixo. Uma sequência de tokens de comprimento limitado é concatenada antes de um alvo nocivo, e a busca a muta substituindo, inserindo ou excluindo um token por vez. O prefixo é otimizado uma vez e então aplicado a perguntas para as quais nunca foi ajustado; é a essa transferência que a palavra "universal" se refere.

• O currículo transforma um alvo difícil em uma escada.Os caracteres na string prejudicial são substituídos aleatoriamente por caracteres de ruído, e a dificuldade é parametrizada pela fração corrompida. Com alta corrupção, o classificador vê quase lixo e é fácil de passar; à medida que o ataque tem sucesso, a corrupção é reduzida em etapas até que a string prejudicial original esteja sendo passada sem modificação.

• Os pontos de fronteira são o truque de ranqueamento. Para cada alvo candidato, o método amostra variantes ruidosas e mantém apenas aquelas em que a população de prefixos candidatos discorda de si mesma — alguns sinalizados, outros não. Alvos que todos resolvem, ou que ninguém resolve, não dizem nada sobre qual prefixo é melhor e são descartados. É essa a peça que faz um bit por consulta ser suficiente.

• A própria busca é um laço evolutivo elitista. Escolha um prefixo pai, mute um token, pontue o filho pelo número de pontos de fronteira atuais que ele resolve e mantenha-o se ele superar pelo menos um incumbente.

A ablação é a evidência mais clara de que a seleção de pontos de fronteira está surtindo efeito: o BPJ convergiu aproximadamente cinco vezes mais rápido do que o mesmo currículo com conjuntos de avaliação aleatórios, e uma linha de base best-of-N de prefixos aleatórios nunca convergiu dentro do orçamento. Os autores também executaram o pipeline com um classificador GPT-4.1-nano barato baseado em prompt, otimizando em uma única pergunta do HarmBench e repetindo em cinco — execuções de aproximadamente 25.000 a 30.000 consultas cada — e descobriram que o prefixo resultante transferiu-se para o conjunto completo do HarmBench, incluindo para tópicos fora da categoria da pergunta original.

As duas metas, e o que as porcentagens realmente medem

Os testes de fronteira usaram Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, em 27 de novembro de 2025) por trás dos Constitutional Classifiers, e gpt-5 por trás do classificador de entrada da OpenAI (em 6–7 de novembro de 2025). Em ambos os casos, os autores acessaram o classificador indiretamente, enviando consultas pelo produto e verificando se a resposta retornava como uma recusa ou um sinalizador.

Essa configuração é importante para ler os números. "Score" não é uma quebra binária; ele é calculado por pergunta por uma rubrica que verifica se detalhes técnicos específicos aparecem na resposta, e as médias relatadas excluem saídas vazias. Max@50 é a melhor pontuação em cinquenta tentativas em uma única pergunta. Portanto, uma média de 25,5% não significa "um ataque em cada quatro funcionou" — é a qualidade média da rubrica das respostas que foram produzidas de fato.

Em contraste com o histórico da própria defesa, o resultado ainda é contundente. Os Constitutional Classifiers já haviam resistido a mais de 3.700 horas de red-teaming humano em mais de 300.000 interações de chat, com apenas um jailbreak universal conduzido por humanos totalmente bem-sucedido encontrado nesse período. A Anthropic disse à AISI que o BPJ teria atendido ao critério de jailbreak universal descrito em seu programa de bug bounty.

O classificador de entrada do GPT-5 resistiu consideravelmente menos bem sob o mesmo ataque: 75,6% em média e 94,3% no melhor de cinquenta, contra 25,5% e 39,9% para os Constitutional Classifiers, subindo para 68% e 80,4% quando um prompting básico de elicitação foi aplicado sobre o prefixo.

Ambas as empresas descreveram o resultado com suas próprias palavras, conforme citado pela AISI. A Anthropic verificou que o BPJ é o primeiro ataque de caixa-preta totalmente automatizado de que tem conhecimento a ter sucesso no contexto dos Constitutional Classifiers. A OpenAI verificou que se trata do primeiro ataque automatizado de que tem conhecimento a ter sucesso contra seu classificador de entrada para o GPT-5 sem depender de ataques de semente humanos. Ambas as declarações se limitam ao que cada empresa sabe, e nenhuma delas foi publicada pela empresa como um aviso independente.

O custo é o que importa, não a porcentagem.

Uma média de 25,5% seria irrelevante na maioria dos artigos sobre jailbreak. O que torna este registro uma entrada marcante no arquivo é a relação entre capacidade e orçamento: duzentos a trezentos dólares, e cerca de um milhão e meio de consultas em ambos os alvos, para um ataque que funciona sem supervisão e não precisa de intervenção humana.

Antes do BPJ, a premissa operacional por trás das defesas baseadas em classificadores era que encontrar um jailbreak universal exigia esforço humano qualificado e sustentado — o número de 3.700 horas é a declaração mais clara dessa premissa. O BPJ substitui o red team por um loop de busca que lê um único booleano e melhora a partir dele. A defesa ainda funciona na maioria das vezes; a economia de atacá-la mudou.

Ambos os laboratórios contestaram a interpretação mais forte, e a AISI inclui essa contestação na publicação em vez de a esconder. A Anthropic observou que o BPJ exigiu meses de esforço de investigação e desenvolvimento, e que os Constitutional Classifiers foram concebidos para resistir a atores com menos competências, que trabalham com orçamentos de consultas mais pequenos, dedicam menos tempo ao desenvolvimento de ataques e teriam dificuldade em implementar os detalhes do método. Isto é uma afirmação sobre quem pode reproduzir o BPJ, não sobre se este funciona.

Por que a defesa tem de contar em todas as conversas

A frase mais consequente no post do AISI não é uma taxa de sucesso. É a observação de que o BPJ é "difícil de defender em interações individuais, mas incorre em muitas sinalizações durante a otimização", e que, portanto, uma defesa eficaz exige complementar os métodos de interação individual com monitoramento em nível de lote.

A assimetria é estrutural, não acidental. Um classificador por conversa tem de fazer um julgamento sobre uma entrada de cada vez, e um prefixo escolhido para ficar próximo da fronteira de decisão é especificamente selecionado para tornar esse julgamento marginalmente errado. O monitoramento em nível de lote olha para um objeto diferente: o tráfego. Uma execução de otimização que gasta 660.000 consultas precisa acionar um enorme número de sinalizações ao longo do caminho, e essas sinalizações são visíveis mesmo quando nenhuma conversa individual é condenatória.

O próprio comentário da OpenAI à AISI é a versão prática do argumento. Ele observou que o desenvolvimento e a execução do BPJ ocorreram em contas não sujeitas a medidas de aplicação, como banimento, e que, em contas padrão, sinalizações repetidas provavelmente levariam a banimentos de conta — o que a OpenAI descreveu como um exemplo exatamente do monitoramento em nível de lote que a AISI recomenda. O controle que teria detectado esse ataque não é um classificador melhor, mas sim um controle em nível de conta.

O que os autores dizem que o ataque não pode fazer

O BPJ ataca o classificador de entrada, não o modelo. Em ambas as configurações de fronteira, os autores usaram um jailbreak simples encontrado por humanos para contornar as próprias recusas do modelo principal, então as pontuações medidas descrevem o que acontece depois que um classificador foi derrotado e o modelo ainda está disposto a responder. Nada no artigo mostra o BPJ derrotando diretamente o treinamento de recusa de um modelo.

• Não é furtivo. Os autores afirmam claramente que ataques BPJ incorrem em um grande número de sinalizações do classificador, o que resultaria em banimentos em condições realistas.

• É ávido por consultas. As execuções publicadas custam 660.000 e 800.000 consultas. Isso é uma barreira real ao uso casual e um sinal evidente para quem observa o tráfego.

• Pressupõe um classificador quase determinístico. Os autores explicitamente não consideram configurações com classificadores altamente estocásticos.

• O método é parcialmente omitido. Para limitar o risco de proliferação, o artigo omite detalhes algorítmicos significativos e não divulga nem strings de ataque nem código. Essa é uma escolha defensável e também a razão pela qual o resultado não pode ser reproduzido de forma independente apenas a partir da publicação.

O que foi feito a respeito disso, e o que não está estabelecido

A AISI afirma que compartilhou os resultados com ambas as empresas antes da publicação, que ambas replicaram o ataque em parceria com o instituto e que ambas desenvolveram medidas de mitigação específicas para BPJ. O artigo afirma que a divulgação ocorreu pelo menos seis semanas antes da publicação. O post não cita nenhum detalhe técnico dessas mitigações e não diz quando foram implementadas ou como foram validadas.

Essa também é a fronteira do que este artigo pode confirmar. A nota de confiança A do registro reflete a qualidade da documentação, não um teste independente do ataque: os documentos primários são dois e vêm da mesma organização. As confirmações da Anthropic e da OpenAI chegam ao registro por meio do relato da AISI, não por documentos que este artigo pudesse ler diretamente. A cobertura fora da AISI repete a postagem do blog — matérias especializadas do It Does What Now? e do Resultsense repetem os números sem testes independentes — e as buscas para este artigo não encontraram nenhuma reportagem original da imprensa generalista sobre o resultado.

Nada no registro mostra BPJ sendo usado contra um sistema real fora de um teste, e o arquivo não registra nenhum dano no mundo real. O artigo é um preprint do arXiv, não uma publicação revisada por pares. As alegações de "primeiro" são delimitadas cuidadosamente pelos laboratórios que as fizeram — "o primeiro de que têm conhecimento" — e devem ser lidas dessa forma, e não como uma afirmação absoluta.

Há um outro limite que é fácil superinterpretar. Os alvos eram configurações vigentes em novembro de 2025, e a postagem do AISI não nomeia nenhuma defesa mais nova do que as duas que atacou. Seja qual for a aparência dos Constitutional Classifiers e da filtragem de entrada da OpenAI após as mitigações específicas para BPJ, este registro não diz — e nem o blog nem o artigo afirmam que defesas posteriores continuam vulneráveis ao mesmo prefixo.

A conclusão duradoura é sobre onde colocar a defesa. Um classificador que avalia uma conversa por vez tem o formato errado para um atacante com centenas de milhares de tentativas, porque é o próprio processo de busca do ataque que o denuncia. A recomendação da AISI de observar o lote em vez da mensagem decorre da mecânica do ataque e vale independentemente de o BPJ voltar a ser usado ou não.