การแหกข้อจำกัดแบบจุดขอบเขต: AISI เจาะตัวกรอง AI ระดับแนวหน้าสองตัวได้อย่างไรด้วยข้อมูลเพียงหนึ่งบิตต่อคิวรี

เมื่อวันที่ 17 กุมภาพันธ์ 2026 UK AI Security Institute ได้เผยแพร่ Boundary Point Jailbreaking ซึ่งเป็นวิธีการอัตโนมัติที่เรียนรู้ที่จะหลุดผ่านการป้องกัน AI ที่แข็งแกร่งที่สุดสองระบบที่ถูกนำไปใช้งานแล้ว โดยได้รับข้อมูลเพียงว่าคำถามแต่ละครั้งถูกบล็อกหรือไม่ วิธีนี้ปรับแต่งคำนำหน้าแบบฝ่ายตรงข้ามที่วางไว้ก่อนคำขอที่เป็นอันตราย โดยใช้หลักสูตรที่ประกอบด้วยเป้าหมายซึ่งถูกทำให้คลุมเครือน้อยลง และการค้นหา "boundary points" บนขอบการตัดสินใจของตัวจำแนก เมื่อทดสอบกับ Constitutional Classifiers ของ Anthropic ซึ่งปกป้อง Claude Sonnet 4.5 วิธีนี้เพิ่มคะแนนตามเกณฑ์ (rubric) เฉลี่ยในคำถามเกี่ยวกับการใช้ชีวภาพในทางที่ผิดที่ไม่เคยเห็นมาก่อนจาก 0% เป็น 25.5% ด้วยค่าใช้จ่ายประมาณ $330 และ 660,000 คำถาม เมื่อทดสอบกับตัวจำแนกอินพุตของ OpenAI สำหรับ GPT-5 วิธีนี้ทำได้ถึง 75.6% ด้วยค่าใช้จ่ายประมาณ $210 ไม่มีระบบใดถูกเจาะ และไม่มีบุคคลใดได้รับอันตราย: AI Incident Archive บันทึกกรณีนี้เป็นบันทึกงานวิจัยระดับความรุนแรงปานกลาง ระดับความเชื่อมั่น A โดยไม่มีข้อโต้แย้งแนบมาด้วย ตัวบันทึกเอง รายการอ้างอิงของบันทึก และรายการงานวิจัยที่บันทึกไว้รอบ ๆ บันทึกนี้ ถูกจัดเก็บไว้ใน Orca AI Incident Archive ซึ่งเชื่อมโยงทั้งโพสต์ของ AISI และบทความ arXiv โดยตรง

สิ่งที่การโจมตีปรับให้เหมาะสม และสิ่งที่มันได้รับอนุญาตให้เห็น

บทความนี้คือ การ Jailbreak ณ จุดขอบเขตของ LLM แบบกล่องดำ โดย Xander Davies, Giorgi Giglemiani, Edmund Lau, Eric Winsor, Geoffrey Irving และ Yarin Gal — เผยแพร่บน arXiv เมื่อวันที่ 16 กุมภาพันธ์ 2026 แก้ไขสองวันถัดมา และประกาศโดย AISI ในวันคั่นกลางระหว่างนั้น ผลงานสำคัญของงานนี้ไม่ใช่สตริง jailbreak ใหม่ แต่เป็นกระบวนการค้นหาเพื่อหาสตริงดังกล่าวภายใต้งบประมาณข้อมูลที่จำกัดอย่างจงใจ

การโจมตีอัตโนมัติก่อนหน้านี้ ตามที่ผู้เขียนบรรยายไว้ อาศัยการเข้าถึงแบบไวท์บ็อกซ์หรือเกรย์บ็อกซ์ ได้แก่ คะแนนจากตัวจำแนก เกรเดียนต์ หรือคลังวิธี jailbreak ที่มีคนเขียนไว้แล้ว BPJ สมมติว่าผู้โจมตีมีเพียงการเข้าถึง API และข้อมูลหนึ่งบิตต่อหนึ่งคำถาม — ถูกแจ้งเตือนหรือไม่ถูกแจ้งเตือน บิตนั้นคือสัญญาณเป้าหมายทั้งหมด และทุกส่วนของวิธีการนี้มีอยู่เพื่อบีบข้อมูลการจัดอันดับออกมาจากมัน

• สิ่งที่ถูกปรับให้เหมาะสมคือคำนำหน้า ลำดับโทเค็นที่มีความยาวจำกัดจะถูกนำไปต่อไว้หน้าคำเป้าหมายที่เป็นอันตราย และการค้นหาจะเปลี่ยนแปลงลำดับนี้โดยการแทนที่ แทรก หรือลบทีละโทเค็น คำนำหน้าจะถูกปรับให้เหมาะสมเพียงครั้งเดียวแล้วนำไปใช้กับคำถามที่มันไม่เคยถูกปรับมาก่อน การถ่ายโอนดังกล่าวคือสิ่งที่คำว่า "universal" หมายถึง

• หลักสูตรนี้เปลี่ยนเป้าหมายที่ยากหนึ่งเป้าหมายให้กลายเป็นบันไดขั้น อักขระในสตริงที่เป็นอันตรายจะถูกแทนที่แบบสุ่มด้วยอักขระรบกวน และความยากจะถูกกำหนดด้วยพารามิเตอร์เป็นสัดส่วนที่ถูกทำให้เสียหาย เมื่อความเสียหายสูง ตัวจำแนกจะเห็นข้อมูลที่เกือบเป็นขยะและผ่านได้ง่าย เมื่อการโจมตีสำเร็จ ความเสียหายจะลดลงทีละขั้นจนกระทั่งสตริงที่เป็นอันตรายเดิมถูกส่งผ่านโดยไม่ถูกแก้ไข

• จุดเขตแดนคือกลเม็ดของการจัดอันดับ สำหรับแต่ละเป้าหมายที่เป็นตัวเลือก วิธีนี้จะสุ่มตัวอย่างรูปแบบที่ปนสัญญาณรบกวน แล้วเก็บไว้เฉพาะรูปแบบที่กลุ่มประชากรของคำนำหน้าตัวเลือกนั้นขัดแย้งกันเอง — บางอันถูกflagged บางอันไม่ เป้าหมายที่ทุกคนแก้ได้ หรือไม่มีใครแก้ได้ ย่อมไม่ได้บอกอะไรว่าคำนำหน้าใดดีกว่า และจะถูกตัดทิ้ง นี่คือชิ้นส่วนที่ทำให้หนึ่งบิตต่อหนึ่งคำถามก็เพียงพอ

• การค้นหานั้นเองคือลูปวิวัฒนาการแบบอิลิทิสต์ เลือกคำนำหน้าของพ่อแม่หนึ่งตัว กลายพันธุ์หนึ่งโทเค็น ให้คะแนนลูกหลานตามจำนวนจุดขอบเขตปัจจุบันที่มันแก้ได้ และเก็บมันไว้หากมันเอาชนะผู้ครองตำแหน่งอย่างน้อยหนึ่งตัว

Ablation เป็นหลักฐานที่ชัดเจนที่สุดว่าการเลือกจุดขอบเขตนั้นได้ผลจริง: BPJ ลู่เข้าได้เร็วกว่าประมาณห้าเท่าเมื่อเทียบกับหลักสูตรเดียวกันที่ใช้ชุดประเมินแบบสุ่ม และ baseline best-of-N ของ prefix แบบสุ่มไม่เคยลู่เข้าภายในงบประมาณเลย ผู้เขียนยังได้รัน pipeline กับ classifier GPT-4.1-nano แบบ prompted ที่มีต้นทุนต่ำ โดยทำ optimisation บนคำถาม HarmBench เดียวและทำซ้ำกับห้าคำถาม — โดยแต่ละครั้งใช้ประมาณ 25,000 ถึง 30,000 queries — และพบว่า prefix ที่ได้นั้นถ่ายโอนไปยังชุด HarmBench เต็มชุด รวมถึงหัวข้อที่อยู่นอกหมวดหมู่ของคำถามต้นฉบับ

สองเป้าหมาย และสิ่งที่เปอร์เซ็นต์เหล่านั้นวัดได้จริง

การทดสอบระดับแนวหน้าใช้ Claude Sonnet 4.5 (claude-sonnet-4-5-20250929 ณ วันที่ 27 พฤศจิกายน 2025) ภายใต้ Constitutional Classifiers และ gpt-5 ภายใต้ตัวจำแนกประเภทอินพุตของ OpenAI (ณ วันที่ 6–7 พฤศจิกายน 2025) ในทั้งสองกรณี ผู้เขียนเข้าถึงตัวจำแนกประเภทได้โดยอ้อม ด้วยการส่งคำถามผ่านผลิตภัณฑ์และตรวจสอบว่าคำตอบที่ส่งกลับมาเป็นคำปฏิเสธหรือการถูกแจ้งเตือนหรือไม่

การตั้งค่านั้นสำคัญต่อการอ่านตัวเลข "Score" ไม่ใช่การแบ่งแบบสองค่า แต่คำนวณเป็นรายคำถามด้วย rubric ที่ตรวจสอบว่ามีรายละเอียดทางเทคนิคเฉพาะปรากฏอยู่ในคำตอบหรือไม่ และค่าเฉลี่ยที่รายงานนั้นไม่รวมเอาต์พุตว่าง Max@50 คือคะแนนที่ดีที่สุดจากการพยายามห้าสิบครั้งในคำถามเดียว ดังนั้นค่าเฉลี่ย 25.5% จึงไม่ใช่ "หนึ่งในการโจมตีสี่ครั้งได้ผล" — แต่เป็นคุณภาพตาม rubric เฉลี่ยของคำตอบที่ถูกสร้างออกมาทั้งหมด

เมื่อเทียบกับประวัติของมาตรการป้องกันนี้เอง ผลลัพธ์ที่ได้ก็ยังคงน่าตกใจ Constitutional Classifiers เคยผ่านการทดสอบเจาะระบบโดยมนุษย์ (human red-teaming) มามากกว่า 3,700 ชั่วโมง ครอบคลุมการโต้ตอบในแชตมากกว่า 300,000 ครั้ง โดยในช่วงเวลานั้นพบ universal jailbreak ที่มนุษย์นำทีมเจาะและประสบความสำเร็จเต็มรูปแบบเพียงครั้งเดียวเท่านั้น Anthropic แจ้ง AISI ว่า BPJ จะผ่านเกณฑ์ universal jailbreak ที่ระบุไว้ในโครงการ bug bounty ของตน

ตัวจำแนกอินพุต GPT-5 ทนทานได้น้อยกว่าอย่างเห็นได้ชัดภายใต้การโจมตีแบบเดียวกัน: เฉลี่ย 75.6% และ 94.3% เมื่อเลือกผลดีที่สุดจากการลอง 50 ครั้ง เทียบกับ 25.5% และ 39.9% สำหรับ Constitutional Classifiers โดยเพิ่มขึ้นเป็น 68% และ 80.4% เมื่อใช้การพรอมต์แบบ elicitation พื้นฐานต่อจาก prefix

ทั้งสองบริษัทอธิบายผลลัพธ์ด้วยถ้อยคำของตนเอง ตามที่ AISI อ้างคำพูดไว้ Anthropic ยืนยันว่า BPJ เป็นการโจมตีแบบกล่องดำที่อัตโนมัติเต็มรูปแบบครั้งแรกเท่าที่บริษัททราบ ซึ่งประสบความสำเร็จในสภาพแวดล้อม Constitutional Classifiers OpenAI ยืนยันว่าเป็นการโจมตีอัตโนมัติครั้งแรกเท่าที่บริษัททราบซึ่งประสบความสำเร็จต่อตัวจำแนกอินพุตของ GPT-5 โดยไม่ต้องอาศัยการโจมตีตั้งต้นจากมนุษย์ ข้อความทั้งสองมีขอบเขตจำกัดอยู่ที่สิ่งที่แต่ละบริษัททราบ และไม่มีข้อความใดถูกเผยแพร่โดยบริษัทในฐานะคำแนะนำแบบแยกต่างหาก

เรื่องสำคัญอยู่ที่ต้นทุน ไม่ใช่เปอร์เซ็นต์

ค่าเฉลี่ย 25.5% คงไม่น่าตื่นเต้นในงานวิจัย jailbreak ส่วนใหญ่ สิ่งที่ทำให้บันทึกนี้เป็นรายการสำคัญในคลังคืออัตราส่วนระหว่างความสามารถกับงบประมาณ: สองร้อยถึงสามร้อยดอลลาร์ และคำถามประมาณหนึ่งล้านห้าแสนครั้งทั่วทั้งสองเป้าหมาย สำหรับการโจมตีที่ทำงานโดยไม่มีคนเฝ้าและไม่จำเป็นต้องมีมนุษย์อยู่ในวงจร

ก่อน BPJ สมมติฐานที่ใช้ได้จริงเบื้องหลังการป้องกันที่อิงกับตัวจำแนกประเภทคือ การค้นหาช่องโหว่เจลเบรกแบบสากลต้องอาศัยความพยายามอย่างต่อเนื่องของมนุษย์ที่มีทักษะ — ตัวเลข 3,700 ชั่วโมงเป็นข้อความที่ชัดเจนที่สุดของสมมติฐานนั้น BPJ แทนที่เรดทีมด้วยลูปค้นหาที่อ่านค่าบูลีนเพียงค่าเดียวและปรับปรุงจากค่านั้น การป้องกันยังคงได้ผล معظمเวลา แต่เศรษฐศาสตร์ของการโจมตีมันเปลี่ยนไปแล้ว

ทั้งสองแล็บคัดค้านการตีความที่รุนแรงที่สุด และ AISI นำข้อคัดค้านของพวกเขาใส่ไว้ในโพสต์แทนที่จะกลบไว้ Anthropic ระบุว่า BPJ ต้องใช้ความพยายามในการวิจัยและพัฒนาหลายเดือน และ Constitutional Classifiers ถูกออกแบบมาเพื่อต้านทานผู้มีทักษะต่ำกว่าซึ่งทำงานด้วยงบคำถามที่เล็กกว่า ใช้เวลาน้อยกว่าในการพัฒนาการโจมตี และจะลำบากในการนำรายละเอียดของวิธีนี้ไปใช้ นี่เป็นข้อกล่าวอ้างเกี่ยวกับว่าใครสามารถทำซ้ำ BPJ ได้ ไม่ใช่เกี่ยวกับว่ามันได้ผลหรือไม่

ทำไมฝ่ายจำเลยจึงต้องนับรวมข้ามบทสนทนา

ประโยคที่มีนัยสำคัญที่สุดในโพสต์ของ AISI ไม่ใช่อัตราความสำเร็จ หากแต่เป็นข้อสังเกตว่า BPJ “ยากที่จะป้องกันในการโต้ตอบแบบรายบุคคล แต่ก่อให้เกิดการแจ้งเตือนจำนวนมากระหว่างการปรับให้เหมาะสม” และด้วยเหตุนี้ การป้องกันที่มีประสิทธิผลจึงจำเป็นต้องเสริมวิธีการสำหรับการโต้ตอบครั้งเดียวด้วยการเฝ้าระวังในระดับชุด

ความไม่สมมาตรนี้เป็นเชิงโครงสร้างมากกว่าเป็นเรื่องบังเอิญ ตัวจำแนกต่อบทสนทนาต้องตัดสินทีละอินพุต และคำนำหน้าที่เลือกให้อยู่ใกล้ขอบเขตการตัดสินใจนั้นถูกเลือกมาโดยเฉพาะเพื่อทำให้การตัดสินใจนั้นคลาดเคลื่อนเพียงเล็กน้อย การตรวจสอบระดับแบตช์มองวัตถุคนละอย่าง นั่นคือทราฟฟิก การรันปรับให้เหมาะสมที่ใช้ 660,000 คิวรีต้องทำให้เกิดสัญญาณเตือนจำนวนมหาศาลระหว่างทาง และสัญญาณเหล่านั้นมองเห็นได้แม้จะไม่มีบทสนทนาใดบทสนทนาหนึ่งที่ให้หลักฐานเอาผิดอย่างชัดเจน

ความเห็นของ OpenAI เองที่ส่งถึง AISI ถือเป็นเวอร์ชันเชิงปฏิบัติของข้อโต้แย้งนี้ โดยระบุว่าการพัฒนาและการดำเนินการของ BPJ เกิดขึ้นบนบัญชีที่ไม่ถูกดำเนินการบังคับใช้ เช่น การแบน และบนบัญชีมาตรฐาน การถูกแจ้งเตือนซ้ำ ๆ น่าจะนำไปสู่การแบนบัญชี ซึ่ง OpenAI อธิบายว่าเป็นตัวอย่างของการตรวจติดตามระดับชุด (batch-level monitoring) ที่ AISI แนะนำอย่างแท้จริง มาตรการควบคุมที่จะจับการโจมตีนี้ได้ไม่ใช่ตัวจำแนกประเภทที่ดีกว่า แต่เป็นมาตรการควบคุมระดับบัญชี

สิ่งที่ผู้เขียนกล่าวว่าการโจมตีไม่สามารถทำได้

BPJ โจมตีตัวจำแนกอินพุต ไม่ใช่โมเดล ในการตั้งค่า frontier ทั้งสองแบบ ผู้เขียนใช้ jailbreak แบบง่ายที่มนุษย์ค้นพบเพื่อหลบเลี่ยงการปฏิเสธของโมเดลหลักเอง ดังนั้นคะแนนที่วัดได้จึงอธิบายสิ่งที่เกิดขึ้นเมื่อตัวจำแนกถูกเอาชนะแล้วและโมเดลยังคงยินดีตอบ ไม่มีสิ่งใดในบทความที่แสดงว่า BPJ เอาชนะการฝึกให้ปฏิเสธของโมเดลได้โดยตรง

• มันไม่มีความแนบเนียน ผู้เขียนระบุอย่างตรงไปตรงมาว่าการโจมตีแบบ BPJ ทำให้ตัวจำแนกประเภทตั้งสัญญาณเตือนจำนวนมาก ซึ่งจะนำไปสู่การถูกแบนภายใต้สภาพการณ์จริง

• มันใช้ query จำนวนมาก การรันที่เผยแพร่ต้องใช้ 660,000 และ 800,000 query นั่นเป็นอุปสรรคจริงจังต่อการใช้งานทั่วไป และเป็นสัญญาณที่ชัดเจนสำหรับใครก็ตามที่เฝ้าดูทราฟฟิก

• โดยถือว่าตัวจำแนกเป็นแบบเกือบดีเทอร์มินิสติก ผู้เขียนระบุชัดเจนว่าไม่พิจารณากรณีที่มีตัวจำแนกแบบสุ่มสูง

• วิธีการนี้ถูกปกปิดไว้บางส่วน เพื่อจำกัดความเสี่ยงจากการแพร่กระจาย บทความจึงตัดรายละเอียดอัลกอริทึมสำคัญออก และไม่เปิดเผยทั้งสตริงการโจมตีและโค้ด นั่นเป็นทางเลือกที่ปกป้องได้ และยังเป็นเหตุผลที่ผลลัพธ์ไม่สามารถทำซ้ำได้อย่างอิสระจากตัวบทความเพียงอย่างเดียว

มีการดำเนินการอะไรบ้างเกี่ยวกับเรื่องนี้ และสิ่งใดที่ยังไม่ได้รับการยืนยัน

AISI กล่าวว่าได้แบ่งปันผลลัพธ์กับทั้งสองบริษัทก่อนการเผยแพร่ ทั้งสองบริษัทได้จำลองการโจมตีซ้ำโดยร่วมมือกับสถาบัน และทั้งสองบริษัทได้พัฒนามาตรการบรรเทาผลกระทบเฉพาะ BPJ เอกสารระบุว่าการเปิดเผยข้อมูลเกิดขึ้นอย่างน้อยหกสัปดาห์ก่อนการเผยแพร่ โพสต์ดังกล่าวไม่ได้ระบุรายละเอียดทางเทคนิคใด ๆ ของมาตรการบรรเทาเหล่านั้น และไม่ได้ระบุว่าเริ่มใช้งานเมื่อใดหรือตรวจสอบความถูกต้องอย่างไร

นั่นก็เป็นขอบเขตของสิ่งที่บทความนี้ยืนยันได้เช่นกัน ระดับความเชื่อมั่น A ของบันทึกสะท้อนคุณภาพของเอกสารประกอบ ไม่ใช่การทดสอบการโจมตีอย่างเป็นอิสระ: เอกสารปฐมภูมิมีสองฉบับ และมาจากองค์กรเดียวกัน การยืนยันของ Anthropic และ OpenAI มาถึงบันทึกผ่านคำบอกเล่าของ AISI ไม่ใช่ผ่านเอกสารที่บทความนี้อ่านได้โดยตรง การรายงานนอก AISI เป็นการกล่าวซ้ำโพสต์บล็อก — บทความในวงการจาก It Does What Now? และ Resultsense กล่าวซ้ำตัวเลขโดยไม่มีการทดสอบอย่างเป็นอิสระ — และการค้นหาสำหรับบทความนี้ไม่พบรายงานข่าวกระแสหลักต้นฉบับเกี่ยวกับผลลัพธ์นี้

ไม่มีสิ่งใดในบันทึกที่แสดงว่า BPJ ถูกใช้กับระบบที่ใช้งานจริงนอกจากการทดสอบ และเอกสารเก็บถาวรไม่บันทึกความเสียหายใด ๆ ในโลกจริง บทความนี้เป็น preprint บน arXiv ไม่ใช่สิ่งพิมพ์ที่ผ่านการตรวจสอบโดยผู้เชี่ยวชาญ การอ้างว่าเป็น "รายแรก" ถูกจำกัดขอบเขตอย่างระมัดระวังโดยห้องปฏิบัติการที่สร้างข้ออ้างนั้น — "รายแรกที่พวกเขาทราบ" — และควรอ่านในลักษณะนั้นมากกว่าจะอ่านเป็นข้อสรุปสัมบูรณ์

ข้อจำกัดอีกประการหนึ่งนั้นง่ายที่จะตีความเกินเลย เป้าหมายคือการกำหนดค่าที่ใช้งานอยู่ในเดือนพฤศจิกายน 2025 และโพสต์ของ AISI ไม่ได้ระบุกลไกป้องกันใดที่ใหม่กว่าสองตัวที่มันโจมตี ไม่ว่าหลังจากมาตรการบรรเทาเฉพาะ BPJ แล้ว Constitutional Classifiers และการกรองอินพุตของ OpenAI จะมีหน้าตาอย่างไร บันทึกนี้ไม่ได้กล่าวไว้ — และทั้งบล็อกและบทความก็ไม่ได้อ้างว่ากลไกป้องกันในภายหลังยังคงเปราะบางต่อคำนำหน้าแบบเดียวกัน

ข้อค้นพบที่คงทนนั้นเกี่ยวกับว่าจะวางแนวป้องกันไว้ที่ใด ตัวจำแนกประเภทที่ตัดสินทีละบทสนทนาเป็นรูปแบบที่ไม่เหมาะสมสำหรับผู้โจมตีที่ได้รับโอกาสให้ลองได้หลายแสนครั้ง เพราะกระบวนการค้นหาของการโจมตีเองคือสิ่งที่ทำให้มันถูกจับได้ ข้อเสนอแนะของ AISI ที่ให้เฝ้าดูทั้งชุดมากกว่าตัวข้อความนั้นสืบเนื่องมาจากกลไกของการโจมตี และยังคงใช้ได้ไม่ว่าจะมีการใช้ BPJ อีกหรือไม่ก็ตาม