Boundary Point-jailbreaking: Hur AISI knäckte två frontier-AI-filter med en bit per fråga

Den 17 februari 2026 publicerade UK AI Security Institute Boundary Point Jailbreaking, en automatiserad metod som lärde sig att ta sig förbi två av de starkaste AI-försvar som tagits i bruk, samtidigt som den bara fick veta huruvida varje fråga blockerades. Den optimerar ett adversariellt prefix som placeras före en skadlig begäran, med hjälp av en läroplan med mindre obfuskerade mål och en sökning efter "boundary points" vid en klassificerares beslutsgräns. Mot Anthropics Constitutional Classifiers, som skyddar Claude Sonnet 4.5, höjde den genomsnittliga poäng enligt bedömningsmallen för osedda frågor om biologiskt missbruk från 0 % till 25,5 % för ungefär 330 USD och 660 000 frågor. Mot OpenAIs indataklassificerare för GPT-5 nådde den 75,6 % för ungefär 210 USD. Inget system komprometterades och ingen person skadades: AI Incident Archive registrerar detta som en forskningspost av medelhög allvarlighetsgrad, konfidensgrad A, utan någon kopplad tvist. Själva posten, dess citeringslista och de forskningsposter som registrerats kring den finns i Orca AI Incident Archive, som direkt länkar både AISI-inlägget och arXiv-artikeln.

Vad attacken optimerar, och vad den tillåts se

Artikeln är Gränspunkt-jailbreaking av svarta lådor-LLM:er, av Xander Davies, Giorgi Giglemiani, Edmund Lau, Eric Winsor, Geoffrey Irving och Yarin Gal — publicerad på arXiv den 16 februari 2026, reviderad två dagar senare och tillkännagiven av AISI dagen däremellan. Dess bidrag är inte en ny jailbreak-sträng utan en sökprocedur för att hitta en sådan under en medvetet begränsad informationsbudget.

Tidigare automatiserade attacker, så som författarna beskriver dem, förlitade sig på vitbox- eller gråboxåtkomst: klassificerarpoäng, gradienter eller ett bibliotek av jailbreaks som någon redan hade skrivit. BPJ förutsätter en angripare med inget annat än API-åtkomst och en enda bit per fråga – flaggad eller inte flaggad. Den biten är hela målsignalen, och varje del av metoden finns för att pressa ut rankningsinformation ur den.

• Det objekt som optimeras är ett prefix. En tokensekvens av begränsad längd sammanfogas framför ett skadligt mål, och sökningen muterar den genom att ersätta, infoga eller ta bort en token i taget. Prefixet optimeras en gång och tillämpas sedan på frågor som det aldrig har trimmats på; det är denna överföring som ordet "universell" syftar på.

• Läroplanen förvandlar ett svårt mål till en stege. Tecken i den skadliga strängen ersätts slumpmässigt med brusstecken, och svårighetsgraden parametriseras av andelen som är förvanskad. Vid hög förvanskning ser klassificeraren nästan skräp och är lätt att passera; allteftersom attacken lyckas minskas förvanskningen i steg tills den ursprungliga skadliga strängen släpps igenom oförändrad.

• Gränspunkter är rankningstricket. För varje kandidatmål samplar metoden brusiga varianter och behåller bara dem där populationen av kandidatprefix inte är överens med sig själv – några flaggade, andra inte. Mål som alla löser, eller ingen löser, säger inget om vilket prefix som är bättre och kastas bort. Det är delen som gör att en bit per fråga räcker.

• Sökningen i sig är en elitistisk evolutionär loop. Välj ett föräldraprefix, mutera en token, poängsätt barnet efter hur många aktuella gränspunkter det löser, och behåll det om det slår minst en befintlig lösning.

Ablationen är det tydligaste beviset på att urvalet av gränspunkter gör nytta: BPJ konvergerade ungefär fem gånger snabbare än samma curriculum med slumpmässiga utvärderingsset, och en best-of-N-baslinje med slumpmässiga prefix konvergerade aldrig inom budgeten. Författarna körde också pipelinen mot en billig promptad GPT-4.1-nano-klassificerare, optimerade på en enda HarmBench-fråga och upprepade över fem – körningar på ungefär 25 000 till 30 000 frågor var – och fann att det resulterande prefixet överfördes till hela HarmBench-uppsättningen, inklusive till ämnen utanför den ursprungliga frågans kategori.

De två målen, och vad procentsatserna faktiskt mäter

Frontiertesterna använde Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, per den 27 november 2025) bakom Constitutional Classifiers, och gpt-5 bakom OpenAIs indataklassificerare (per den 6–7 november 2025). I båda fallen nådde författarna klassificeraren indirekt genom att skicka frågor via produkten och kontrollera om svaret kom tillbaka som en vägran eller en flagga.

Den uppsättningen spelar roll för att läsa siffrorna. "Score" är inte ett binärt genombrott; det beräknas per fråga av en bedömningsmall som kontrollerar om specifika tekniska detaljer förekommer i svaret, och de rapporterade genomsnitten utesluter tomma utdata. Max@50 är den bästa poängen över femtio försök på en enda fråga. Ett genomsnitt på 25,5 % är därför inte "en av fyra attacker lyckades" – det är den genomsnittliga bedömningsmallkvaliteten hos de svar som överhuvudtaget producerades.

Jämfört med försvarets egen historik är resultatet fortfarande slående. Constitutional Classifiers hade tidigare motstått över 3 700 timmar av mänsklig red-teaming i mer än 300 000 chattinteraktioner, och under den tiden hittades endast en fullt framgångsrik människoledad universell jailbreak. Anthropic sade till AISI att BPJ skulle ha uppfyllt tröskeln för universell jailbreak som beskrivs i dess bug bounty-program.

GPT-5:s indataklassificerare höll stånd betydligt sämre under samma attack: 75,6 % i genomsnitt och 94,3 % vid bäst av femtio, jämfört med 25,5 % och 39,9 % för Constitutional Classifiers, och steg till 68 % och 80,4 % när grundläggande elicitation-promptning lades ovanpå prefixet.

Båda företagen beskrev resultatet med egna ord, enligt AISI:s citat. Anthropic verifierade att BPJ är den första helt automatiserade black-box-attacken som det känner till som lyckas i inställningen Constitutional Classifiers. OpenAI verifierade att det är den första automatiserade attacken som det känner till som lyckas mot sin indataklassificerare för GPT-5 utan att förlita sig på mänskliga seed-attacker. Båda uttalandena är begränsade till vad respektive företag känner till, och inget av dem publicerades av företaget som ett fristående säkerhetsmeddelande.

Kostnaden är det som räknas, inte procenten

Ett genomsnitt på 25,5 % skulle vara oanmärkningsvärt i de flesta jailbreak-artiklar. Det som gör den här posten till en milstolpe i arkivet är förhållandet mellan förmåga och budget: tvåhundra till trehundra dollar, och ungefär en och en halv miljon förfrågningar mot båda målen, för en attack som körs obevakat och inte kräver någon människa i loopen.

Före BPJ var den bärande förutsättningen bakom klassificerarbaserade försvar att ett universellt jailbreak krävde ihållande, skicklig mänsklig ansträngning – siffran 3 700 timmar är det tydligaste uttrycket för den förutsättningen. BPJ ersätter red team med en sökloop som läser en enda boolean och förbättrar den. Försvaret fungerar fortfarande för det mesta; ekonomin för att attackera det har förändrats.

Båda laboratorierna motsatte sig den starkaste tolkningen, och AISI tar med deras invändningar i inlägget i stället för att begrava dem. Anthropic noterade att BPJ krävde månader av forsknings- och utvecklingsarbete, och att Constitutional Classifiers är utformat för att stå emot mindre skickliga aktörer som arbetar med mindre frågebudgetar, ägnar mindre tid åt att utveckla attacker och skulle ha svårt att implementera metodens detaljer. Det är ett påstående om vem som kan reproducera BPJ, inte om huruvida det fungerar.

Varför försvaret måste räknas in i alla samtal

Den mest betydelsefulla raden i AISI-inlägget är inte en framgångsfrekvens. Det är observationen att BPJ är "svårt att försvara sig mot i enskilda interaktioner men drar på sig många flaggor under optimering", och att ett effektivt försvar därför kräver att man kompletterar metoder för enskilda interaktioner med övervakning på batch-nivå.

Asymmetrin är strukturell snarare än tillfällig. En klassificerare per konversation måste göra en bedömning av en indata i taget, och ett prefix som valts för att ligga nära beslutsgränsen är specifikt utvalt för att göra den bedömningen marginellt felaktig. Övervakning på batch-nivå tittar på ett annat objekt: trafiken. En optimeringskörning som gör av med 660 000 förfrågningar måste utlösa en enorm mängd flaggor på vägen, och dessa flaggor är synliga även när ingen enskild konversation är graverande.

OpenAI:s egen kommentar till AISI är den praktiska versionen av argumentet. Den konstaterade att utvecklingen och körningen av BPJ skedde på konton som inte omfattades av verkställighetsåtgärder såsom avstängning, och att upprepade flaggningar på standardkonton sannolikt skulle leda till kontostängningar – vilket OpenAI beskrev som ett exempel på exakt den övervakning på batchnivå som AISI rekommenderar. Den kontroll som skulle ha fångat den här attacken är inte en bättre klassificerare utan en på kontonivå.

Vad författarna säger att attacken inte kan göra

BPJ attackerar indataklassificeraren, inte modellen. I båda frontier-konfigurationerna använde författarna en enkel mänskligt framtagen jailbreak för att ta sig förbi huvudmodellens egna vägran, så de uppmätta poängen beskriver vad som händer när en klassificerare har besegrats och modellen fortfarande är villig att svara. Inget i artikeln visar att BPJ direkt besegrar en modells vägrandeträning.

• Det är inte diskret. Författarna anger tydligt att BPJ-attacker orsakar ett stort antal flaggor från klassificeraren, vilket skulle leda till avstängningar under realistiska förhållanden.

• Den är frågehungrig. De publicerade körningarna kostar 660 000 och 800 000 frågor. Det är en reell barriär för vardaglig användning och en stark signal till alla som bevakar trafiken.

• Det förutsätter en nästan deterministisk klassificerare. Författarna beaktar uttryckligen inte inställningar med mycket stokastiska klassificerare.

• Metoden är delvis hemlighållen. För att begränsa spridningsrisken utelämnar artikeln väsentliga algoritmiska detaljer och publicerar varken attacksträngar eller kod. Det är ett försvarbart val, och också anledningen till att resultatet inte kan reproduceras oberoende enbart utifrån publikationen.

Vad som gjordes åt det, och vad som inte är fastställt

AISI säger att man delade resultaten med båda företagen före publiceringen, att båda replikerade attacken i partnerskap med institutet och att båda har utvecklat BPJ-specifika motåtgärder. Rapporten anger att avslöjandet skedde minst sex veckor före publiceringen. Inlägget anger inga tekniska detaljer om dessa motåtgärder och säger inte när de släpptes eller hur de validerades.

Det är också gränsen för vad den här artikeln kan bekräfta. Postens tillförlitlighetsbetyg A återspeglar kvaliteten på dokumentationen, inte ett oberoende test av attacken: primärdokumenten är två, och de kommer från samma organisation. Anthropics och OpenAIs bekräftelser når posten via AISI:s redogörelse, inte via dokument som den här artikeln kunde läsa direkt. Bevakning utanför AISI upprepar blogginlägget – fackartiklar från It Does What Now? och Resultsense upprepar siffrorna utan oberoende testning – och sökningar för den här artikeln hittade ingen originalrapportering i etablerad press om resultatet.

Ingenting i registret visar att BPJ har använts mot ett skarpt system utanför ett test, och arkivet registrerar ingen verklig skada. Artikeln är en arXiv-förhandspublicering, inte en peer-review-granskad publikation. Påståendena om att vara "först" är noggrant avgränsade av laboratorierna som gjorde dem – "det första de känner till" – och bör läsas så snarare än som absoluta.

En ytterligare begränsning är lätt att övertolka. Målen var konfigurationer som var aktuella i november 2025, och AISI:s inlägg nämner inget försvar som är nyare än de två det angrep. Hur Constitutional Classifiers och OpenAIs indatafiltrering ser ut efter de BPJ-specifika mildrande åtgärderna säger denna redogörelse ingenting om – och varken blogginlägget eller artikeln hävdar att senare försvar fortfarande är sårbara för samma prefix.

Den bestående insikten gäller var försvaret ska placeras. En klassificerare som bedömer en konversation i taget är fel form för en angripare som tillåts hundratusentals försök, eftersom angreppets egen sökprocess är det som avslöjar det. AISI:s rekommendation att bevaka batchen i stället för meddelandet följer av angreppets mekanik, och den gäller oavsett om BPJ självt någonsin används igen.