Джейлбрейки через граничную точку: как AISI обошла два фильтра передовых ИИ с помощью одного бита на запрос

17 февраля 2026 года UK AI Security Institute опубликовал Boundary Point Jailbreaking — автоматизированный метод, который научился обходить две из самых сильных развёрнутых систем защиты ИИ, получая сведения только о том, был ли заблокирован каждый запрос. Он оптимизирует состязательный префикс, помещаемый перед вредоносным запросом, используя учебную последовательность менее обфусцированных целей и поиск «граничных точек» на границе принятия решений классификатора. Против Constitutional Classifiers от Anthropic, защищающих Claude Sonnet 4.5, он повысил средние баллы по рубрикам на не встречавшихся ранее вопросах биологического злоупотребления с 0% до 25,5% примерно за $330 и 660 000 запросов. Против входного классификатора OpenAI для GPT-5 он достиг 75,6% примерно за $210. Ни одна система не была взломана, и ни один человек не пострадал: AI Incident Archive классифицирует это как исследовательскую запись средней серьёзности, со степенью уверенности A и без связанных разногласий. Сама запись, список её цитирований и связанные с ней исследовательские записи хранятся в Orca AI Incident Archive, где напрямую даны ссылки как на публикацию AISI, так и на статью arXiv.

Что оптимизирует атака и что ей разрешено видеть

Статья — Джейлбрейкинг чёрных LLM в граничных точках, авторы: Xander Davies, Giorgi Giglemiani, Edmund Lau, Eric Winsor, Geoffrey Irving и Yarin Gal — опубликована на arXiv 16 февраля 2026 года, доработана двумя днями позже, а AISI анонсировала её в день между публикацией и доработкой. Её вклад — не новая строка джейлбрейка, а процедура поиска, позволяющая найти её при намеренно крайне ограниченном информационном бюджете.

Ранние автоматизированные атаки, как описывают их авторы, опирались на доступ типа white-box или grey-box: оценки классификатора, градиенты или библиотеку джейлбрейков, которую кто-то уже написал. BPJ предполагает атакующего, у которого есть только доступ к API и один бит на запрос — помечен или не помечен. Этот бит — весь целевой сигнал, и каждая часть метода существует, чтобы выжать из него информацию о ранжировании.

• Оптимизируемый объект — это префикс. Последовательность токенов ограниченной длины конкатенируется перед вредоносной целью, а поиск мутирует её, заменяя, вставляя или удаляя по одному токену за раз. Префикс оптимизируется один раз, а затем применяется к вопросам, на которых он никогда не настраивался; именно эта переносимость и подразумевается словом «универсальный».

• Учебная программа превращает одну сложную цель в лестницу. Символы во вредоносной строке случайно заменяются шумовыми символами, а сложность параметризуется долей искажённых символов. При высокой степени искажения классификатор видит почти мусор, и пройти его легко; по мере успеха атаки искажение пошагово снижается, пока исходная вредоносная строка не начинает проходить без изменений.

• Граничные точки — это трюк ранжирования. Для каждой кандидатной цели метод выбирает зашумлённые варианты и оставляет только те, где множество кандидатных префиксов не согласуется само с собой — некоторые помечены, некоторые нет. Цели, которые решают все или не решает никто, ничего не говорят о том, какой префикс лучше, и отбрасываются. Именно этот элемент позволяет обойтись одного бита на запрос.

• Сам поиск представляет собой элитистский эволюционный цикл. Выберите родительский префикс, мутируйте один токен, оцените потомка по тому, сколько текущих граничных точек он решает, и сохраните его, если он превосходит хотя бы одного из текущих кандидатов.

Абляция — наиболее ясное свидетельство того, что выбор граничных точек действительно работает: BPJ сошёлся примерно в пять раз быстрее, чем тот же курикулум со случайными наборами для оценки, а базовая линия best-of-N из случайных префиксов так и не сошлась в пределах бюджета. Авторы также прогнали весь пайплайн через дешёвый классификатор GPT-4.1-nano, используемый через промпт, оптимизируя на одном вопросе HarmBench и повторяя это для пяти вопросов — прогоны примерно по 25 000–30 000 запросов каждый — и обнаружили, что полученный префикс переносится на полный набор HarmBench, в том числе на темы за пределами категории исходного вопроса.

Два целевых показателя и что на самом деле измеряют эти проценты

В тестах передовых моделей использовались Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, по состоянию на 27 ноября 2025 г.) под защитой Constitutional Classifiers, а также gpt-5 под входным классификатором OpenAI (по состоянию на 6–7 ноября 2025 г.). В обоих случаях авторы обращались к классификатору косвенно: отправляли запросы через продукт и проверяли, возвращается ли ответ в виде отказа или флага.

Эта настройка важна для интерпретации чисел. «Score» — не бинарный результат; он вычисляется для каждого вопроса по рубрике, которая проверяет, присутствуют ли в ответе конкретные технические детали, а указываемые средние значения не учитывают пустые выходы. Max@50 — лучший результат за пятьдесят попыток на одном вопросе. Поэтому среднее 25,5% — это не «сработала одна атака из четырёх», а среднее качество по рубрике среди ответов, которые вообще были получены.

В сравнении с собственной историей этой защиты результат всё равно остаётся ошеломляющим. Constitutional Classifiers ранее выдерживали более 3 700 часов человеческого ред-тиминга в более чем 300 000 чат-взаимодействиях, и за это время был найден лишь один полностью успешный универсальный джейлбрейк, осуществлённый человеком. Anthropic сообщила AISI, что BPJ соответствовал бы порогу универсального джейлбрейка, описанному в её программе bug bounty.

Входной классификатор GPT-5 показал значительно худшую устойчивость при той же атаке: 75,6% в среднем и 94,3% при лучшем из 50, против 25,5% и 39,9% у Constitutional Classifiers, которые выросли до 68% и 80,4%, когда поверх префикса применили базовое элиситирующее промптирование.

Обе компании описали результат своими словами, как цитирует AISI. Anthropic подтвердила, что BPJ — первая известная ей полностью автоматизированная атака типа «черный ящик», которая добилась успеха в режиме Constitutional Classifiers. OpenAI подтвердила, что это первая известная ей автоматизированная атака, которая добилась успеха против ее входного классификатора для GPT-5, не полагаясь на подготовленные человеком затравочные атаки. Оба заявления ограничены рамками того, что известно каждой компании, и ни одно из них не было опубликовано компанией как отдельное предупреждение.

Суть в издержках, а не в процентах.

Средний показатель в 25,5% был бы ничем не примечателен в большинстве работ по джейлбрейку. Знаковой эту запись в архиве делает соотношение между возможностями и бюджетом: от двухсот до трёхсот долларов и примерно полтора миллиона запросов по обеим целям — для атаки, которая работает без присмотра и не требует участия человека.

До BPJ рабочей предпосылкой защит на основе классификаторов было то, что для нахождения универсального джейлбрейка требуются длительные усилия квалифицированных специалистов — цифра в 3 700 часов является самым ясным выражением этой предпосылки. BPJ заменяет команду красных циклом поиска, который считывает единственное булево значение и улучшает результат на его основе. Защита по-прежнему работает в большинстве случаев; экономика атаки на неё изменилась.

{{1}}Обе лаборатории возразили против самой сильной интерпретации, и AISI приводит их возражения в посте, а не прячет их. Anthropic отметила, что BPJ потребовал месяцев исследований и разработки, а система Constitutional Classifiers разработана так, чтобы противостоять менее квалифицированным субъектам, которые работают с меньшими бюджетами запросов, уделяют меньше времени разработке атак и с трудом смогли бы реализовать детали метода. Это утверждение о том, кто может воспроизвести BPJ, а не о том, работает ли он.{{/1}}

Почему защита должна учитываться во всех разговорах

Самая значимая фраза в публикации AISI — не показатель успешности. Это наблюдение о том, что BPJ «трудно защищать в отдельных взаимодействиях, но он вызывает множество флагов во время оптимизации», и что поэтому эффективная защита требует дополнения методов для отдельных взаимодействий мониторингом на уровне батчей.

Асимметрия носит структурный, а не случайный характер. Классификатор на уровне отдельного диалога должен выносить суждение по одному входу за раз, и префикс, выбранный так, чтобы располагаться вблизи границы принятия решения, специально подобран для того, чтобы это суждение оказалось маргинально неверным. Пакетный мониторинг смотрит на другой объект: на трафик. Прогон оптимизации, который расходует 660 000 запросов, неизбежно должен по пути поднять огромное количество флагов, и эти флаги видны даже тогда, когда ни один отдельный диалог не является уличающим.

Собственный комментарий OpenAI для AISI представляет собой практическую версию этого аргумента. В нём отмечалось, что разработка и выполнение BPJ происходили на аккаунтах, не подверженных мерам принудительного характера, таким как блокировка, и что на стандартных аккаунтах повторные срабатывания, вероятно, привели бы к блокировке аккаунтов — что OpenAI описала как пример именно мониторинга на уровне пакетов, который рекомендует AISI. Контролем, который позволил бы поймать эту атаку, является не более совершенный классификатор, а контроль на уровне аккаунта.

Что, по словам авторов, атака сделать не может

BPJ атакует входной классификатор, а не модель. В обоих сценариях с передовыми моделями авторы использовали простой джейлбрейк, найденный вручную, чтобы обойти собственные отказы основной модели, поэтому измеренные оценки описывают, что происходит после того, как классификатор был побеждён, а модель по-прежнему готова отвечать. Ничто в статье не показывает, что BPJ напрямую побеждает обучение модели отказу.

• Это не скрытно. Авторы прямо заявляют, что атаки BPJ вызывают большое количество срабатываний классификатора, что в реалистичных условиях привело бы к блокировкам.

• Он требует много запросов. Опубликованные запуски стоили 660 000 и 800 000 запросов. Это реальный барьер для повседневного использования и громкий сигнал для всех, кто следит за трафиком.

• Предполагается почти детерминированный классификатор. Авторы явно не рассматривают конфигурации с классификаторами с высокой степенью стохастичности.

• Метод раскрыт лишь частично. Чтобы ограничить риск распространения, в статье умалчиваются существенные алгоритмические подробности и не публикуются ни строки атаки, ни код. Это оправданный выбор, а также причина, по которой результат нельзя независимо воспроизвести только по публикации.

Что было сделано по этому поводу, а что не установлено

AISI сообщает, что поделилась результатами с обеими компаниями до публикации, что обе воспроизвели атаку в партнёрстве с институтом и что обе разработали меры защиты, специфичные для BPJ. В статье указано, что раскрытие информации произошло как минимум за шесть недель до публикации. В посте не приводятся технические подробности этих мер и не говорится, когда они были выпущены или как проверены.

Это также предел того, что данная статья может подтвердить. Оценка достоверности записи «A» отражает качество документации, а не независимую проверку атаки: первичных документов два, и они происходят из одной и той же организации. Подтверждения Anthropic и OpenAI попадают в запись через отчёт AISI, а не через документы, которые эта статья могла бы прочитать напрямую. Материалы за пределами AISI пересказывают пост в блоге — отраслевые публикации It Does What Now? и Resultsense повторяют цифры без независимого тестирования — а поиск для этой статьи не обнаружил оригинальных репортажей основных СМИ о результате.

Ничто в материалах не показывает, что BPJ применялся против работающей системы вне теста, и архив не фиксирует никакого реального ущерба. Статья представляет собой препринт arXiv, а не рецензируемую публикацию. Заявления о «первом» случае тщательно ограничены лабораториями, которые их сделали — «первый, о котором им известно» — и их следует читать именно так, а не как абсолютное утверждение.

Ещё одно ограничение легко истолковать слишком широко. Целями были конфигурации, актуальные по состоянию на ноябрь 2025 года, а в публикации AISI не упоминается ни одна защита новее тех двух, которые она атаковала. Как бы ни выглядели Constitutional Classifiers и фильтрация входных данных OpenAI после мер, специфичных для BPJ, в этом документе об этом не говорится — и ни блог, ни статья не утверждают, что более поздние защиты остаются уязвимы к тому же префиксу.

Устойчивый вывод касается того, где размещать защиту. Классификатор, оценивающий один диалог за раз, имеет неподходящую форму для атакующего, которому разрешены сотни тысяч попыток, потому что именно собственный процесс поиска атаки её выдаёт. Рекомендация AISI следить за пакетом, а не за сообщением, вытекает из механики атаки и сохраняет силу независимо от того, будет ли сам BPJ когда-либо снова использоваться.