Constitutional Classifiers++: ไม่พบ universal jailbreak ในการทดสอบเรดทีม 1,736 ชั่วโมง

Anthropic เผยแพร่ระบบป้องกันการ jailbreak รุ่นที่สองสำหรับ Claude — Constitutional Classifiers++ — ในโพสต์งานวิจัยลงวันที่ 9 มกราคม 2026 และบทความวิชาการที่มีผู้เขียน 29 คนซึ่งส่งไปยัง arXiv เมื่อวันที่ 8 มกราคม 2026 การออกแบบวาง linear probe บนแอ็กทิเวชันภายในของโมเดลเองไว้ด้านหน้าตัวจำแนกประเภทที่หนักกว่า ซึ่งอ่านทุกคำตอบโดยพิจารณาจากบริบทของพรอมต์ และ Anthropic รายงานว่าการติดตั้งแบบ shadow เป็นเวลาหนึ่งเดือนกับทราฟฟิกของ Claude Sonnet 4.5 ปฏิเสธ 0.05% ของคำถาม ระบบที่ใช้งานจริงใช้พลังประมวลผลประมาณหนึ่งในสี่สิบของตัวจำแนกประเภทแบบแลกเปลี่ยนครั้งเดียวที่ใช้วัดเทียบ และการทดสอบเจาะระบบโดยมนุษย์ 1,736 ชั่วโมงไม่พบ universal jailbreak ที่ใช้ได้ทั่วไป ไม่มีสิ่งใดได้รับความเสียหายและไม่มีการกล่าวอ้างถึงการโจมตี: นี่คือการอธิบายและวัดผลระบบป้องกัน ไม่ใช่การเปิดเผยการบุกรุก คลังเก็บข้อมูลบันทึกเหตุการณ์นี้เป็นบันทึกด้านธรรมาภิบาลโดยระบุวันที่ระดับวันเป็น 30 มกราคม 2026 ระดับความเชื่อมั่น A และไม่มีความเสียหายที่บันทึกไว้ พร้อมกับรายการด้านความปลอดภัยของ AI อื่น ๆ ใน Orca AI Incident Archive.

วันที่ของคลังเก็บไม่ใช่วันที่เผยแพร่

แหล่งข้อมูลที่อ้างถึงทั้งสองแห่งเห็นพ้องกัน — ซึ่งเป็นพื้นฐานสำหรับเกรด A ของคลังเอกสาร — แต่ไม่มีแหล่งใดลงวันที่ 30 มกราคม 2026 โพสต์งานวิจัย "Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks" มีตราเวลาการเผยแพร่เป็น 9 มกราคม 2026 ในเมทาดาทาของหน้าเว็บ บทความ "Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks" ถูกส่งเมื่อวันที่ 8 มกราคม 2026 เวลา 05:16 UTC และไม่ได้รับการแก้ไขบน arXiv นับตั้งแต่นั้น เวอร์ชันที่คลังเอกสารอ้างถึง คือ 2601.04603v1 เป็นเวอร์ชันเดียว วันที่ 30 มกราคมถูกระบุไว้ในที่นี้ในฐานะการบันทึกของคลังเอกสารเองที่มีความละเอียดระดับวัน ไม่ใช่วันที่ของเอกสารใดเอกสารหนึ่ง

เรื่องนี้สำคัญเพราะสรุปหนึ่งบรรทัดของคลังข้อมูลมีตัวเลขสามตัวที่ผู้อ่านมีแนวโน้มจะนำไปพูดซ้ำ — 40x, 0.05% และกว่า 1,700 ชั่วโมง — และแต่ละตัวถูกวัดเทียบกับฐานอ้างอิงคนละฐานกับที่ถ้อยคำในสรุปบอกเป็นนัย ส่วนที่เหลือของบทความนี้ว่าด้วยฐานอ้างอิงเหล่านั้นคืออะไร

สามการเปลี่ยนแปลงที่ซ้อนกัน

Constitutional Classifiers เปิดตัวในเดือนกุมภาพันธ์ 2025 ในฐานะตัวกรองคู่หนึ่งที่ฝึกด้วยข้อมูลสังเคราะห์ซึ่งสร้างจาก "รัฐธรรมนูญ" ที่เขียนขึ้นเกี่ยวกับเนื้อหาที่อนุญาตและต้องห้าม รุ่นแรกนั้นใช้ตัวจำแนกอินพุตแยกต่างหากและตัวจำแนกเฉพาะเอาต์พุต และโพสต์ของ Anthropic เองให้เครดิตว่าช่วยลดความสำเร็จของการ jailbreak บนโมเดลที่ไม่มีการป้องกัน จาก 86% เหลือ 4.4% — บล็อกการโจมตีได้ประมาณ 95% — โดยมีต้นทุนเป็นภาระการประมวลผลเพิ่มขึ้น 23.7% และอัตราการปฏิเสธต่อคำถามที่ไม่เป็นอันตรายเพิ่มขึ้น 0.38%

บทความเริ่มต้นด้วยการแสดงให้เห็นว่าคู่นั้นสามารถถูกแยกออกจากกันได้อย่างไร มีการโจมตีสองประเภทที่ได้ผล การโจมตีแบบสร้างใหม่ (reconstruction attacks) กระจายคำขอที่เป็นอันตรายออกเป็นชิ้นส่วนที่ดูไม่เป็นพิษเป็นภัย ตัวอย่างในบทความฝังคำถามไว้ในค่าที่ส่งคืนของฟังก์ชันที่กระจายอยู่ทั่วโค้ดเบส แล้วสั่งให้โมเดลประกอบกลับขึ้นมา ดังนั้นตัวกรองอินพุตจึงไม่เคยเห็นคำขอที่สมบูรณ์ การโจมตีแบบทำให้เอาต์พุตคลุมเครือ (output obfuscation attacks) ทำให้โมเดลตอบด้วยรหัสแทนคำหรืออุปมาอุปไมย ดังนั้นตัวจำแนกประเภทที่ดูเฉพาะเอาต์พุตจึงอ่านเจอแต่ข้อความที่ดูธรรมดา ภาพประกอบในบทความให้โมเดลอธิบายการทำกรดไฮโดรคลอริกในฐานะการรวมกันของ "ไฟแห่งดวงอาทิตย์" และ "ของขวัญแห่งท้องทะเล" ขณะที่ตัวจำแนกประเภทไม่เคยรู้ว่าปริศนานั้นถอดรหัสออกมาเป็นอะไร เพราะเอาต์พุตเพียงอย่างเดียวตีความไม่ได้หากไม่มีอินพุต ตัวกรองที่อ่านเพียงด้านเดียวของการแลกเปลี่ยนจึงมองไม่เห็นอันตราย

ต่อไปนี้คือการเปลี่ยนแปลงสามประการ และบทความประเมินแต่ละประการแยกกันก่อนที่จะนำมารวมเข้าด้วยกัน

• สลับตัวจำแนกประเภท ตัวจำแนกประเภทเดียวจะอ่านเอาต์พุตของโมเดลในบริบทของอินพุต โดยให้คะแนนโทเค็นเป็นชุดขณะที่ถูกสร้างขึ้น โดยมีการแคชพรอมต์ทำให้การเล่นซ้ำมีต้นทุนที่รับได้ การทดสอบแบบเรดทีมโดยมนุษย์พบช่องโหว่ความเสี่ยงสูงต่อความพยายามเจลเบรกแต่ละครั้งน้อยกว่าการออกแบบตัวจำแนกประเภทคู่ 2.2 เท่า — แต่ใช้พลังประมวลผลมากกว่าเดิมประมาณ 50% เนื่องจากตอนนี้โมเดลขนาดเท่า Haiku ประเมินบทสนทนาทั้งหมด

• ระบบแบบคาสเคด ตัวจำแนกประเภทระยะแรกที่มีน้ำหนักเบาจะคัดกรองทราฟฟิกทั้งหมด และส่งต่อเฉพาะสิ่งที่ถูกตั้งค่าสถานะไปยังระยะที่สองซึ่งมีต้นทุนสูง การออกแบบนี้ใช้ประโยชน์จากคุณสมบัติของสถาปัตยกรรมมากกว่าของโมเดล: เนื่องจากการแลกเปลี่ยนที่ถูกตั้งค่าสถานะจะถูกส่งต่อไปยังขั้นถัดไปแทนการปฏิเสธ ระยะที่ประหยัดจึงสามารถมีอัตราผลบวกลวงสูงได้ ซึ่งหมายความว่าโมเดลที่อ่อนกว่าและถูกกว่าสามารถรันระยะนี้ได้ Anthropic กำหนดเกณฑ์ของระยะแรกเพื่อให้ตัวอย่างส่วนใหญ่จากชุดข้อมูลเรดทีมของตนเองถูกตั้งค่าสถานะ และด้วยการเปลี่ยนแปลงไปป์ไลน์การอนุมานและโมเดลที่อัปเดตแล้ว รายงานว่าลดการใช้คอมพิวต์ลง 5.4 เท่าเมื่อเทียบกับตัวจำแนกการแลกเปลี่ยนเดี่ยว ประมาณ 10% ของทราฟฟิกไปถึงระยะที่สอง และระยะแรกคิดเป็นประมาณ 77% ของต้นทุนทั้งหมด

• โพรบการเปิดใช้งานเชิงเส้น การเปลี่ยนแปลงที่สามนำการคำนวณทางคณิตศาสตร์ที่โมเดลทำไปแล้วกลับมาใช้ใหม่ โพรบเชิงเส้นอ่านค่าการเปิดใช้งานของสตรีมเรซิดิวอัลในทุกเลเยอร์ขณะที่โทเค็นถูกสุ่ม ดังนั้นต้นทุนส่วนเพิ่มจึงใกล้ศูนย์ — บทความระบุว่าโพรบทุกเลเยอร์บนโมเดล 27B มีต้นทุนประมาณ 377K FLOPs ต่อโทเค็น เทียบกับประมาณ 8B สำหรับการส่งผ่านไปข้างหน้าหนึ่งครั้งของโมเดล 4B รายละเอียดการฝึกสองอย่างกลายเป็นสิ่งสำคัญ: การเฉลี่ยลอจิตรวมในช่วงหน้าต่างเลื่อน 16 โทเค็นระหว่างการฝึก เพื่อไม่ให้การเปิดใช้งานผิดปกติเพียงครั้งเดียวติดธงลำดับได้ และฟังก์ชันขาดทุนแบบถ่วงน้ำหนักด้วยซอฟต์แมกซ์ที่ลงโทษผลบวกลวงที่มีความมั่นใจสูงมากกว่าผลลบจริงที่มีความมั่นใจสูงมาก ในชุดคงที่ของการแลกเปลี่ยนเรดทีมประมาณ 7,000 รายการ โพรบที่ดีที่สุดเอาชนะตัวจำแนกภายนอกขนาดเล็กพิเศษและเกือบเทียบเท่าตัวของ Haiku 4.5 เมื่อรวมเป็นเอนเซมเบิลกับตัวจำแนกภายนอก มันทำได้ดีกว่าทั้งสองแบบเดี่ยว และคำอธิบายของบทความคือส่วนที่น่าสนใจ: ข้อผิดพลาดของโพรบมีความสัมพันธ์กับข้อผิดพลาดของตัวจำแนกน้อยกว่าที่ข้อผิดพลาดของตัวจำแนกสองตัวมีความสัมพันธ์กัน ดังนั้นโพรบ "ดูเหมือนจะใช้ประโยชน์จากสัญญาณที่เสริมกับสัญญาณที่ตัวจำแนกภายนอกใช้"

ระบบการผลิต ในตัวเลขของมันเอง

สิ่งที่นำมาใช้จริง combines สองอย่างหลัง: โพรบเชิงเส้นบนแอคติเวชันของ Claude Sonnet 4.5 ตรวจทุกการแลกเปลี่ยนระหว่างการสร้าง และเมื่อคะแนนของโพรบข้ามเกณฑ์ การแลกเปลี่ยนนั้นจะถูกส่งไปยังตัวจำแนกขั้นที่สองที่ปรับแต่งเพิ่มเติมจาก Claude Haiku 4.5 สำหรับการแลกเปลี่ยนที่ถูกยกระดับ คะแนนทั้งสองจะถูกผสมในสัดส่วน 0.55 จากโพรบต่อ 0.45 จากตัวจำแนก โพรบยกระดับประมาณ 5.5% ของทราฟฟิกในการผลิต

Anthropic ประเมินระบบนี้ในการติดตั้งแบบ shadow บนทราฟฟิกการใช้งานจริงของ Claude Sonnet 4.5 ระหว่างวันที่ 1 ธันวาคม 2025 ถึง 1 มกราคม 2026 อัตราการติดธง — สัดส่วนของคำถามที่ถูกปฏิเสธ — อยู่ที่ 0.05% เทียบกับ 0.38% ที่งานรุ่นแรก รายงาน ในโพสต์บล็อก บริษัทอธิบายว่านั่นคือการลดลง 87% จากตัวจำแนกประเภทเดิม และกล่าวแยกต่างหากว่าระบบเพิ่ม "ค่าใช้จ่ายในการประมวลผลประมาณ 1% หากนำไปใช้กับทราฟฟิกของ Claude Opus 4.0"

มีข้อควรระวังสามข้ออยู่ในสองประโยคนั้น และไม่มีข้อใดที่ Anthropic ปิดบังไว้ — เพียงแต่ข้อเหล่านั้นหายไปได้ง่ายเมื่อตัวเลขถูกส่งต่อ

ประการแรก การเปรียบเทียบอัตราการปฏิเสธนั้นเทียบกับ 0.38% ซึ่งเป็นตัวเลขที่เผยแพร่สำหรับรุ่นแรก ตารางที่ 1 ของบทความเองระบุอัตราการปฏิเสธในการใช้งานจริงสำหรับการนำระบบรุ่นล่าสุดกลับมาใช้งานใหม่ของ Anthropic ไว้ที่ 0.073% โดยวัดในช่วงสัปดาห์แรกหลังการนำไปใช้งาน ทั้งสองตัวเลขเป็นของ Anthropic; ทั้งสองวัดสิ่งที่แตกต่างกัน — ในกรณีหนึ่งคือการเพิ่มขึ้นของการปฏิเสธต่อคำถามที่ไม่เป็นอันตราย อีกกรณีคือสัดส่วนของคำถามในการใช้งานจริงที่ถูกปฏิเสธ — และข้อกล่าวอ้าง 87% คำนวณจากตัวเลขที่มากกว่าของสองตัวนั้น

ประการที่สอง อัตราการปฏิเสธของระบบที่ใช้งานจริงไม่ใช่ค่าที่ต่ำที่สุดในบทความ ตารางที่ 1 ระบุว่า 0.038% สำหรับตัวจำแนกการแลกเปลี่ยนเดี่ยว และ 0.036% สำหรับแคสเคดสองขั้นตอนที่ไม่มีโพรบ ส่วนระบบโปรดักชันอยู่ที่ 0.050% มันชนะด้านการประมวลผลและความทนทาน ไม่ใช่ด้านการปฏิเสธ และตารางของมันเองก็ระบุเช่นนั้น

ประการที่สาม ตัวเลขการใช้คอมพิวต์ 1% กับตัวเลข 40 เท่าไม่ใช่การวัดเดียวกัน 40 เท่าเป็นการเทียบกับตัวจำแนกการแลกเปลี่ยนแบบเดี่ยวในส่วนที่สามของบทความ ซึ่งเป็นระบบที่แพงกว่ารุ่นก่อนหน้าประมาณ 50% อยู่แล้ว ตารางที่ 1 ของบทความ ซึ่งกำหนดให้ระบบรุ่นก่อนหน้าเป็น 100.0 ให้ค่า 150.0 สำหรับตัวจำแนกการแลกเปลี่ยนนั้น 27.8 สำหรับแคสเคดสองขั้น และ 3.5 สำหรับระบบใช้งานจริง เมื่ออ่านเทียบกับรุ่นก่อนหน้าแทนที่จะเทียบกับการออกแบบขั้นกลาง ตารางบ่งชี้ถึงการลดลงประมาณ 29 เท่า ตัวเลข ~1% ในบล็อกเป็นฐานที่สามอีกครั้ง: ตัวเลขโอเวอร์เฮดแบบสัมบูรณ์ที่วัดจากทราฟฟิกของ Claude Opus 4.0 วางเทียบกับ 23.7% ของรุ่นแรก

สิ่งที่การทำ red-teaming จำนวน 1,736 ชั่วโมงยืนยัน

ข้อกล่าวอ้างเรื่องความทนทานตั้งอยู่บนนิยามเฉพาะ และนิยามคือจุดที่ข้อโต้แย้งอาศัยอยู่ ทีมเรดทีมของ Anthropic ถูกขอให้สร้างกลยุทธ์ที่ดึงคำตอบโดยละเอียดสำหรับคำถามเป้าหมาย CBRN แบบคงที่แปดข้อ คำตอบจะถือว่าเป็นอันตรายหากเกณฑ์การให้คะแนนโดย LLM ให้คะแนนอย่างน้อยครึ่งหนึ่งของรายละเอียดของคำตอบจากโมเดลที่ไม่มีมาตรการป้องกัน และ "ช่องโหว่ความเสี่ยงสูง" คือการโจมตีที่ประสบความสำเร็จมากกว่าห้าข้อจากแปดข้อ ในวรรณกรรมนี้ การเจลเบรกแบบสากลคือกลยุทธ์ที่ได้ผลกับเป้าหมายส่วนใหญ่ ซึ่งเป็นสิ่งที่ทำให้ใครบางคนสามารถยื่นสูตรให้คนแปลกหน้าได้ แทนที่จะบังเอิญได้คำตอบเพียงข้อเดียว

ระบบโปรดักชันใช้เวลาทดสอบแบบเรดทีมสะสมประมาณ 1,736 ชั่วโมง จากการพยายามราว 198,000 ครั้ง โดยประเมินชั่วโมงจากบันทึก API ในช่วงห้านาที พบช่องโหว่ความเสี่ยงสูงหนึ่งรายการ อัตราการค้นพบ 0.005 ต่อพันคำถาม และใช้เวลา 30 ชั่วโมงในการค้นพบ ซึ่งเป็นเวลาค้นพบขั้นต่ำที่ยาวนานที่สุดของระบบใด ๆ ในบทความ ไม่มีการโจมตีใดตอบคำถามเป้าหมายทั้งแปดข้อได้ในระดับรายละเอียดครึ่งหนึ่งของโมเดลที่ไม่ได้ป้องกัน แถวเปรียบเทียบคือการนำระบบรุ่นล่าสุดของบทความเองกลับมาพัฒนาใหม่: ช่องโหว่ความเสี่ยงสูง 13 รายการจาก 695,000 คำถาม อัตรา 0.01871 ต่อพัน รวมถึง jailbreak สี่รายการที่ตอบคำถามเป้าหมายทุกข้อได้ในระดับรายละเอียดครึ่งหนึ่ง ซึ่งพบโดยเฉลี่ยใน 27 ชั่วโมง

ผลลัพธ์นั้นมีข้อจำกัดสองประการที่ควรกล่าวไว้อย่างตรงไปตรงมา ประการแรกอยู่ในเชิงอรรถของบทความเอง ซึ่งแนบไว้กับหัวข้อที่อธิบายลำดับชั้นสองขั้นตอนที่อยู่ก่อนระบบตรวจสอบว่า “แม้ผู้ทดสอบเจาะระบบระดับผู้เชี่ยวชาญที่ปฏิบัติงานนอกโครงการตอบแทนของเราก็ยังสามารถค้นพบช่องโหว่แบบเจาะระบบได้ทุกกรณีสำหรับระบบนี้ได้ ถึงแม้ว่าจะต้องใช้ความพยายามอย่างมากและเครื่องมืออัตโนมัติก็ตาม” ระบบการผลิตขั้นสุดท้ายไม่ใช่หัวข้อของเชิงอรรถนั้น แต่บันทึกดังกล่าวยืนยันว่าเกณฑ์การให้รางวัลของ Anthropic ไม่ใช่เพดานสูงสุดของสิ่งที่ผู้โจมตีที่มุ่งมั่นสามารถทำได้ ประการที่สองคือข้อสรุปของ Anthropic เองในโพสต์บล็อกที่ว่า “ยังไม่มีระบบ AI ใดในตลาดปัจจุบันที่มีการป้องกันที่แข็งแกร่งสมบูรณ์แบบ” มูลนิธิวิจัยมอนทานา ซึ่งเป็นองค์กรวิจัยอิสระที่วิเคราะห์การเปิดตัวเมื่อวันที่ 21 มกราคม 2026 ได้กล่าวถึงประเด็นเดียวกันอย่างคมชัดกว่าเดิม กล่าวคือ เกณฑ์แปดคำถามเป็น “เกณฑ์ที่ผู้ป้องกันเป็นผู้เลือก” และประเภทการโจมตีสองประเภทที่ Anthropic ระบุเองนั้น “บั่นทอนเกณฑ์ดังกล่าวมากกว่าที่จะผ่านพ้นมันไปได้”

สิ่งที่ยังผ่านเข้ามาได้

Anthropic ระบุประเภทการโจมตีที่ยังคงเหลืออยู่สองประเภท และไม่ได้อ้างว่าตนปิดช่องโหว่เหล่านี้ได้แล้ว การโจมตีแบบ reconstruction ซึ่งแบ่งคำขอออกเป็นส่วนย่อยกระจายไปทั่วบริบท และ output obfuscation ซึ่งอำพรางคำตอบด้วยการพูดเลี่ยง คำอุปมา หรือโค้ด เป็นเทคนิคเดียวกับที่ทำให้ระบบรุ่นแรกพัง ตัวจำแนกการแลกเปลี่ยน (exchange classifier) ทำให้การโจมตีเหล่านี้ยากขึ้น ไม่ใช่เป็นไปไม่ได้ บทความยังบันทึกต้นทุนของการโจมตีไว้ด้วย: บน GPQA Diamond Claude Opus 4 ทำคะแนนได้ 74.2% เมื่อไม่ถูกดัดแปลง 32.3% ภายใต้การโจมตีแบบแบ่งส่วนแบบหนึ่ง และ 49% ภายใต้อีกแบบหนึ่ง ผู้เขียนเรียกความแปรปรวนนั้นว่า "น่ากังวล" โดยให้เหตุผลว่าผู้โจมตีที่ลงทุนกับปัญหานี้น่าจะหาการโจมตีที่รักษาความสามารถของโมเดลไว้ได้มากกว่าในขณะที่ยังผ่านการป้องกันได้

งานศึกษาภายหลังได้ให้ความสำคัญกับช่องทางเปิดทั้งสองอย่างจริงจัง และงานนั้นเป็นอิสระจาก Anthropic ในลักษณะที่ตัวเอกสารเผยแพร่เองไม่ได้เป็นเช่นนั้น

• Boundary Point Jailbreaking ซึ่งส่งไปยัง arXiv เมื่อวันที่ 16 กุมภาพันธ์ 2026 โดยนักวิจัยจาก UK AI Security Institute และ OATML ของมหาวิทยาลัยออกซ์ฟอร์ด อธิบายถึงการโจมตีอัตโนมัติแบบกล่องดำเต็มรูปแบบที่ต้องการเพียงหนึ่งบิตต่อการสอบถาม — ถูกแฟล็กหรือไม่ถูกแฟล็ก — และรายงานว่าเป็น "อัลกอริทึมการโจมตีอัตโนมัติเต็มรูปแบบตัวแรกที่ประสบความสำเร็จในการพัฒนา universal jailbreak ต่อ Constitutional Classifiers" เป้าหมายของมันคือตัวจำแนกที่ปกป้อง Claude Sonnet 4.5 ณ วันที่ 27 พฤศจิกายน 2025 ซึ่งบทความอ้างอิงถึงงานรุ่นแรกปี 2025 แทนที่จะอ้างถึง probe cascade; บทความยังถ่ายทอดข้อค้นพบเบื้องต้นของ Anthropic ว่าตัวจำแนกที่อิง probe "อาจต้านทานการโจมตีประเภทนี้ได้มากกว่าตัวจำแนกที่อิงข้อความ" และการฝึกด้วยสตริงการโจมตีช่วยให้การตรวจจับดีขึ้น

• Trojan-Speak ซึ่งส่งเมื่อวันที่ 30 มีนาคม 2026 โดยผู้เขียนใน Anthropic Fellows Program และ Virginia Tech โจมตีจากอีกทิศทางหนึ่ง: การปรับแต่งแบบฝ่ายตรงข้าม (adversarial fine-tuning) ที่สอนโมเดลให้ใช้การเข้ารหัสที่ตัวจำแนกประเภทอ่านไม่ออก โดยรายงานว่าหลบเลี่ยงตัวจำแนกประเภทได้มากกว่า 99% สำหรับโมเดลขนาด 14B พารามิเตอร์ขึ้นไป โดยสูญเสียความสามารถต่ำกว่า 5% ในคำถาม CBRN จากชุด bug-bounty และระบุว่าลำดับชั้นแบบตรวจสอบก่อน (probe-first cascade) ยังคงปล่อยให้ "ตัวจำแนกประเภท LLM" เป็นผู้ตัดสินใจบล็อกขั้นสุดท้าย และพบว่า activation probes ช่วยเพิ่มความทนทานต่อการโจมตีด้วยการเข้ารหัสอย่างมีนัยสำคัญ

ไม่มีบทความวิจัยใดโต้แย้งตัวเลขที่ Anthropic เผยแพร่สำหรับการติดตั้งใช้งานของตนเอง ทั้งสองถือว่าแคสเคดเป็นสิ่งที่ต้องเอาชนะให้ได้ นั่นคือการตรวจสอบที่เข้มงวดกว่าที่การเปิดตัวได้รับจากที่อื่น: การค้นหาดัชนีข่าวในช่วงเวลาที่เผยแพร่ไม่พบสื่อกระแสหลักรายงานเกี่ยวกับโพสต์วันที่ 9 มกราคม และนอกเหนือจากบทความทั้งสองนี้ การวิเคราะห์อิสระเพียงชิ้นเดียวที่พบสำหรับบทความนี้คือของ Montana Research Foundation ซึ่งเผยแพร่เมื่อวันที่ 21 มกราคม 2026

ทำไมคลังเอกสารจึงจัดเก็บสิ่งนี้เป็นเรื่องธรรมาภิบาล

ชนิดของบันทึกคือนโยบาย แท็กประเภทคือ GOV และระดับความรุนแรงคือ info ซึ่งอ่านแล้วดูแปลกสำหรับบทความเกี่ยวกับสถาปัตยกรรมตัวจำแนก จนกว่าคุณจะดูว่าจริง ๆ แล้วมีการบันทึกอะไรไว้ ไม่มีผู้เสียหาย ไม่มีกำหนดเส้นตายในการเปิดเผย และไม่มีประชากรที่ได้รับผลกระทบนอกเหนือจากผู้ที่คำค้นของพวกเขาถูกตัวกรองให้คะแนน สิ่งที่เอกสารมีคือผู้ขายที่เผยแพร่สถาปัตยกรรม การวัดผลการติดตั้งใช้งาน และโปรโตคอลการทำเรดทีม โดยมีรายละเอียดมากพอให้คนอื่นตรวจสอบการคำนวณได้ และในกิตติกรรมประกาศได้ระบุชื่อองค์กรภายนอกที่ทำเรดทีมกับเวอร์ชันก่อนหน้า ได้แก่ UK AISI, US CAISI และ FAR.AI โดยมี HackerOne ดำเนินงานโครงการจ่ายรางวัลผู้พบช่องโหว่ในทางปฏิบัติ

ประเด็นด้านธรรมาภิบาลคือเส้นต้นทุน การป้องกันที่เพิ่มราคาต่อทุกคำถามขึ้นหนึ่งในสี่เป็นสิ่งที่ทีมผลิตภัณฑ์ถกเถียงกันว่าจะปิดดีไหม การวิเคราะห์ของ Montana ชี้ประเด็นนี้ไว้พอดี โดยระบุว่าที่ 23.7% ทีมความปลอดภัยต้องหาเหตุผลมาสนับสนุนการเปิดใช้ และที่ประมาณ 1% "ทีมผลิตภัณฑ์ต้องหาเหตุผลมาสนับสนุนการปิดใช้" คำถามที่ยังคงอยู่คือตัวเลขนี้ใช้ได้นอกสแตกของ Anthropic เองหรือไม่ และการวิเคราะห์เดียวกันนี้ระบุเกณฑ์ทดสอบไว้ว่า โพรบอ่านแอ็กทิเวชัน แอ็กทิเวชันจำเพาะต่อโมเดล และ "หากไม่เป็นเช่นนั้น นี่คือผลลัพธ์ของ Anthropic"

สิ่งที่บันทึกไม่มีคือหลักฐานใด ๆ ว่าล้มเหลวในการใช้งานจริง ไม่มีเหตุการณ์ ไม่มีการหลบเลี่ยง และไม่มีความเสียหายต่อผู้ใช้ปรากฏในเอกสารที่อ้างถึงทั้งสองฉบับ และคลังข้อมูลบันทึกความเสียหายจริงเป็น null วันที่ยื่น 30 มกราคม ยังไม่ได้รับการอธิบายจากแหล่งข้อมูล งานที่อธิบายนั้นลงวันที่ 8 และ 9 มกราคม 2026