Constitutional Classifiers++: ingen universell jailbreak under 1 736 timmar av red-teamning

Anthropic publicerade den andra generationen av sitt jailbreak-försvar för Claude – Constitutional Classifiers++ – i ett forskningsinlägg daterat 9 januari 2026 och en artikel med 29 författare som lämnades in till arXiv den 8 januari 2026. Utformningen sätter en linjär probe på modellens egna interna aktiveringar framför en tyngre klassificerare som läser varje svar i promptens kontext, och Anthropic rapporterar att en månad lång skuggdriftsättning på Claude Sonnet 4.5-trafik avvisade 0,05 % av frågorna, att produktionssystemet använde ungefär en fyrtiondel av beräkningskraften hos klassificeraren för enskilda utbyten som det mättes mot, och att 1 736 timmar av mänsklig red-teaming inte gav något universellt jailbreak. Inget skadades och inget angrepp påstås: detta är ett försvar som beskrivs och mäts, inte ett intrång som avslöjas. Arkivet registrerar episoden som en styrningspost med ett dagprecist datum den 30 januari 2026, tillförlitlighetsgrad A och ingen registrerad skada, tillsammans med resten av sina AI-säkerhetsposter i Orca AI Incident Archive.

Arkivets datum är inte publiceringsdatumet

De två citerade källorna stämmer överens med varandra – grunden för arkivets A-betyg – men ingen av dem är daterad 30 januari 2026. Forskningsinlägget "Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks" har en publiceringstidsstämpel på 9 januari 2026 i sin sidmetadata. Artikeln "Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks" skickades in den 8 januari 2026 kl. 05:16 UTC och har inte reviderats på arXiv sedan dess; den version som arkivet citerar, 2601.04603v1, är den enda. Datumet 30 januari rapporteras här som arkivets egen dagspecifika registrering, inte som datumet för något av dokumenten.

Det spelar roll eftersom arkivets enradiga sammanfattning innehåller tre siffror som en läsare sannolikt kommer att upprepa – 40x, 0,05 %, över 1 700 timmar – och var och en mäts mot en annan baslinje än sammanfattningens formulering antyder. Resten av den här artikeln handlar om vad dessa baslinjer är.

Tre ändringar, staplade

Constitutional Classifiers introducerades i februari 2025 som ett par filter tränade på syntetisk data genererad från en skriftlig "konstitution" över tillåtet och förbjudet innehåll. Den första generationen körde en separat indataklassificerare och en klassificerare endast för utdata, och Anthropics eget inlägg tillskriver den att ha minskat lyckade jailbreaks på en oförsvarad modell från 86 % till 4,4 % – vilket blockerar cirka 95 % av attackerna – till en kostnad av 23,7 % extra beräkningskraft och en ökning med 0,38 % av avslag på ofarliga frågor.

Artikeln inleds med att visa hur det paret skulle kunna plockas isär. Två attackklasser fungerade. Rekonstruktionsattacker sprider en skadlig begäran över fragment som ser harmlösa ut – artikelns exempel bäddar in en fråga i returvärdena från funktioner utspridda i en kodbas och instruerar sedan modellen att sätta ihop den – så indatafiltret aldrig ser en komplett begäran. Utdataobfuskeringsattacker får modellen att svara i substitutionskoder eller metaforer, så en klassificerare som bara läser utdata läser något intetsägande; artikelns illustration låter en modell beskriva tillverkning av saltsyra som föreningen av "solens eld" och "havets gåva" medan klassificeraren aldrig får veta vad gåtan avkodas till. Eftersom utdata ensamt är otolkbar utan indata, kan ett filter som bara läser ena sidan av utbytet inte se skadan.

Tre förändringar följer, och artikeln utvärderar var och en separat innan de kombineras.

• Byt ut klassificerarna. En enda klassificerare läser modellens utdata i kontexten av indata och poängsätter token i batchar allteftersom de genereras, med prompt-cachning som gör uppspelningen överkomlig. Mänsklig red-teaming fann 2,2 gånger färre högrisksårbarheter per jailbreak-försök än designen med dubbla klassificerare – men till cirka 50 % mer beräkningskraft, eftersom en modell av Haiku-storlek nu utvärderar hela konversationen.

• En kaskad. En lättviktsklassificerare i första steget granskar all trafik och eskalerar endast det den flaggar till det dyra andra steget. Designen utnyttjar en egenskap hos arkitekturen snarare än hos modellen: eftersom ett flaggat utbyte eskaleras i stället för att avvisas, tillåts det billiga steget ha en hög andel falska positiva, vilket innebär att en svagare och billigare modell kan köra det. Anthropic ställer in tröskeln för första steget så att de allra flesta exempel som hämtas från dess egna red-teaming-datamängder flaggas, och rapporterar, med ändringar i inferenspipelinen och uppdaterade modeller, en 5,4-faldig minskning av beräkningskostnaden jämfört med klassificeraren för enskilda utbyten. Ungefär 10 % av trafiken når det andra steget, och det första steget står för ungefär 77 % av den totala kostnaden.

• Linjära aktiveringsprober. Den tredje ändringen återanvänder aritmetik som modellen redan har utfört. En linjär probe läser av aktiveringarna i residualströmmen i varje lager när tokens samplas, så dess marginella kostnad är nära noll — artikeln uppskattar en probe för alla lager på en 27B-modell till ungefär 377K FLOPs per token, jämfört med cirka 8B för en enda framåtpassning av en 4B-modell. Två träningsdetaljer visade sig spela roll: att medelvärdesbilda logits över ett glidande fönster på 16 tokens under träningen så att en enda felaktig aktivering inte kan flagga en sekvens, och en softmax-viktad förlust som straffar säkra falska positiva mycket mer än säkra sanna negativa. På en statisk uppsättning med cirka 7 000 red-team-utbyten slog den bästa proben den extra lilla externa klassificeraren och matchade nästan Haiku 4.5-varianten. I ensemble med en extern klassificerare presterade den bättre än någon av dem ensam, och artikelns förklaring är det intressanta: probens fel korrelerar mindre med klassificerarens än två klassificerares fel korrelerar med varandra, så proben "förefaller utnyttja signaler som kompletterar dem som externa klassificerare använder".

Produktionssystemet, i sina egna siffror

Det som lanserades kombinerar de två senaste: en linjär probe på Claude Sonnet 4.5:s aktiveringar granskar varje utbyte under generering, och när dess poäng passerar ett tröskelvärde går utbytet till en klassificerare i ett andra steg som finjusterats från Claude Haiku 4.5. För eskalerade utbyten blandas de två poängen med 0,55 från proben och 0,45 från klassificeraren. Proben eskalerade cirka 5,5 % av produktionstrafiken.

Anthropic utvärderade det i en skuggtillämpning på produktions trafik för Claude Sonnet 4.5 mellan 1 december 2025 och 1 januari 2026. Flaggningsfrekvensen – andelen förfrågningar som avvisades – var 0,05 %, jämfört med de 0,38 % som det första generationens arbete rapporterade. I blogginlägget beskriver företaget det som en minskning med 87 % från de ursprungliga klassificerarna och säger separat att systemet tillför "ungefär 1 % beräkningskostnad om det tillämpas på Claude Opus 4.0-trafik".

Tre förbehåll ligger i de där två meningarna, och inget av dem döljs av Anthropic – de är helt enkelt lätta att tappa bort när siffrorna färdas.

För det första görs avslagsjämförelsen mot 0,38 %, siffran som publicerades för den första generationen. Artikelns egen tabell 1 anger produktionsavslagsfrekvensen för Anthropics återimplementering av förra generationens system till 0,073 %, mätt under den första veckan efter driftsättning. Båda siffrorna är Anthropics; de mäter olika saker – en ökning av avslag på ofarliga frågor i det ena fallet, en andel av produktionsfrågor som avvisats i det andra – och påståendet om 87 % beräknas utifrån den största av de två.

För det andra är det driftsatta systemets avvisningsfrekvens inte den lägsta i artikeln. Tabell 1 anger 0,038 % för klassificeraren för enskilda utbyten och 0,036 % för tvåstegskaskaden utan prober; produktionssystemet ligger på 0,050 %. Det vinner på beräkningskostnad och robusthet, inte på avvisningar, och dess egen tabell säger det.

För det tredje är siffran 1 % för beräkningskostnad och siffran 40x inte samma mätning. 40x är i förhållande till den enskilda exchange-klassificeraren i artikelns tredje avsnitt – ett system som i sig var omkring 50 % dyrare än föregående generation. Artikelns tabell 1, som indexerar allt mot förra generationens system vid 100,0, anger 150,0 för den exchange-klassificeraren, 27,8 för den tvåstegskaskaden och 3,5 för produktionssystemet. Läst mot föregående generation i stället för mot den mellanliggande designen antyder tabellen en minskning på omkring 29 gånger. Bloggens ~1 % är ännu en tredje bas: en absolut overheadsiffra uppmätt på Claude Opus 4.0-trafik, ställd bredvid första generationens 23,7 %.

Vad 1 736 timmar av red-teaming fastställer

Påståendet om robusthet vilar på en specifik definition, och det är i definitionen argumentet ligger. Anthropics red-teamare ombads bygga strategier som tar fram detaljerade svar på åtta fasta CBRN-målfrågor. Ett svar räknas som skadligt om en LLM-bedömningsmall ger det minst hälften av detaljrikedomen i ett svar från en modell utan skyddsåtgärder, och en "högrisksårbarhet" är en attack som lyckas på fler än fem av de åtta. En universell jailbreak är, i den här litteraturen, en strategi som fungerar över större delen av måluppsättningen – det som skulle låta någon räcka ett recept till en främling i stället för att av en slump få ett enda svar.

Produktionssystemet utsattes för uppskattningsvis 1 736 kumulativa timmar av red-teaming fördelat på ungefär 198 000 försök, timmar uppskattade utifrån API-loggar i femminutersintervall. En högrisksårbarhet hittades, en upptäcktsfrekvens på 0,005 per tusen frågor, och det tog 30 timmar att hitta den – den längsta minsta upptäcktstiden för något system i artikeln. Inget angrepp besvarade alla åtta målfrågor med halva detaljrikedomen hos en oförsvarad modell. Jämförelseraden är artikelns egen återimplementering av förra generationen: 13 högrisksårbarheter över 695 000 frågor, en frekvens på 0,01871 per tusen, inklusive fyra jailbreaks som besvarade varje målfråga med halva detaljrikedomen, hittade i genomsnitt på 27 timmar.

Två begränsningar i det resultatet förtjänar att sägas rakt ut. Den första finns i artikelns egen fotnot, kopplad till avsnittet som beskriver den tvåstegskaskad som föregick probesystemet: "red-teamare på expertnivå som verkade utanför vårt bountyprogram kunde ändå upptäcka universella jailbreaks för detta system, även om det krävde betydande ansträngning och automatiserade verktyg." Det slutliga produktionssystemet var inte föremål för den fotnoten, men noten visar att Anthropics bountytröskel inte är taket för vad beslutsamma angripare kan åstadkomma. Den andra är Anthropics egen slutsats i blogginlägget: "inga AI-system som för närvarande finns på marknaden har perfekt robusta försvar." Montana Research Foundation, en oberoende forskningsorganisation som analyserade släppet den 21 januari 2026, formulerade samma poäng skarpare – tröskeln med åtta frågor är "en tröskel vald av försvararen", och de två attackklasser som Anthropic själv namnger "nöter på den snarare än klarar den".

Vad som fortfarande tar sig igenom

Anthropic namnger två kvarvarande attackklasser och hävdar inte att de har stängt dem. Rekonstruktionsattacker, som fragmenterar en förfrågan över en kontext, och utdataobfuskering, som döljer ett svar i eufemism, metafor eller kod, är samma tekniker som bröt den första generationen; utbytesklassificeraren gör dem svårare, inte omöjliga. Artikeln dokumenterar också kostnaden för att attackera överhuvudtaget: på GPQA Diamond fick Claude Opus 4 74,2 % oförändrad, 32,3 % under en fragmenterande attack och 49 % under en annan. Författarna kallar den variationen "oroande", med resonemanget att en motståndare som investerar i problemet förmodligen kan hitta attacker som bevarar mer av modellens förmåga samtidigt som de fortfarande tar sig igenom.

Senare arbeten har tagit båda öppningarna på allvar, och det är oberoende av Anthropic på ett sätt som själva utgivningen inte är.

• Boundary Point Jailbreaking, som skickades in till arXiv den 16 februari 2026 av forskare vid UK AI Security Institute och Oxfords OATML, beskriver en helt automatiserad black-box-attack som bara behöver en bit per fråga – flaggad eller inte flaggad – och rapporterar den som "den första helt automatiserade attackalgoritmen som lyckas utveckla universella jailbreaks mot Constitutional Classifiers". Dess mål var klassificeraren som skyddade Claude Sonnet 4.5 den 27 november 2025, vilken artikeln hänvisar till 2025 års förstgenerationsarbete snarare än till probe-kaskaden; artikeln förmedlar också Anthropics preliminära fynd att probe-baserade klassificerare "kan vara mer motståndskraftiga mot denna typ av attack än textbaserade klassificerare", och att träning på attacksträngarna förbättrar detektionen.

• Trojan-Speak, inlämnad den 30 mars 2026 av författare i Anthropic Fellows Program och vid Virginia Tech, angriper från en annan riktning: adversariell finjustering som lär en modell en kodning som klassificeraren inte kan läsa, och rapporterar över 99 % klassificerarundkommande för modeller med 14B parametrar och uppåt vid under 5 % kapacitetsförlust, på CBRN-frågorna från bug bounty-uppsättningen. Den noterar att probe-först-kaskaden fortfarande lämnar "LLM-klassificeraren" att fatta det slutliga blockeringsbeslutet, och finner att aktiveringsprober avsevärt förbättrar robustheten mot kodningsattacken.

Ingen av de två artiklarna ifrågasätter de siffror som Anthropic publicerade för sin egen driftsättning. Båda behandlar kaskaden som det som ska överträffas. Det är mer granskning än vad publiceringen fick någon annanstans: en sökning i nyhetsindex för publiceringsfönstret gav ingen bevakning från etablerade medier av inlägget den 9 januari, och bortsett från dessa två artiklar är den enda oberoende analys som hittats för den här artikeln Montana Research Foundations, publicerad den 21 januari 2026.

Varför registrerar arkivet detta som styrning?

Postens slag är policy, dess typetikett är GOV och dess allvarlighetsgrad är info, vilket låter märkligt för en artikel om klassificerararkitektur tills man tittar på vad som faktiskt registreras. Det finns inget offer, ingen tidsfrist för avslöjande och ingen drabbad befolkning utöver de personer vars frågor filtret poängsätter. Vad dokumenten innehåller är en leverantör som publicerar en arkitektur, en driftsättningsmätning och ett red-teaming-protokoll i tillräcklig detalj för att någon annan ska kunna kontrollera aritmetiken – och i tackavsnittet namnger de externa organisationer som red-teamade tidigare versioner: UK AISI, US CAISI och FAR.AI, med HackerOne som driver bountyprogrammet operativt.

Styrningsintresset ligger i kostnadskurvan. En skyddsåtgärd som lägger en fjärdedel på priset för varje fråga är en som ett produktteam argumenterar för att stänga av; Montana-analysen gör exakt denna poäng och skriver att säkerhetsteamet vid 23,7 % måste motivera att den slås på, och vid ungefär 1 % ”måste produktteamet motivera att den slås av”. Huruvida siffran håller utanför Anthropics egen stack är den aktuella frågan, och samma analys anger testet: proben läser aktiveringar, aktiveringar är modellspecifika, och ”om de inte gör det är det ett Anthropic-resultat”.

Det som handlingarna inte innehåller är något bevis för att systemet misslyckades i produktion. Ingen incident, ingen förbikoppling och ingen användarskada förekommer i något av de citerade dokumenten, och arkivet registrerar verklig skada som null. Inlämningsdatumet den 30 januari förblir oförklarat av källorna; arbetet som det beskriver är daterat 8 och 9 januari 2026.