Constitutional Classifiers++: không có jailbreak phổ quát nào trong 1.736 giờ red-team

Anthropic đã công bố thế hệ thứ hai các biện pháp phòng vệ chống jailbreak cho Claude — Constitutional Classifiers++ — trong một bài đăng nghiên cứu ngày 9 tháng 1 năm 2026 và một bài báo do 29 tác giả gửi lên arXiv ngày 8 tháng 1 năm 2026. Thiết kế đặt một đầu dò tuyến tính trên chính các hoạt hóa nội bộ của mô hình phía trước một bộ phân loại nặng hơn, đọc mọi câu trả lời trong ngữ cảnh của lời nhắc, và Anthropic báo cáo rằng một đợt triển khai bóng kéo dài một tháng trên lưu lượng Claude Sonnet 4.5 đã từ chối 0,05% truy vấn, rằng hệ thống sản xuất sử dụng lượng tính toán bằng khoảng một phần bốn mươi so với bộ phân loại một lượt trao đổi mà nó được đem ra đo so sánh, và rằng 1.736 giờ red-teaming bởi con người không tạo ra được jailbreak phổ quát nào. Không có gì bị tổn hại và không có cuộc tấn công nào bị cáo buộc: đây là một biện pháp phòng vệ đang được mô tả và đo lường, không phải một vụ xâm nhập đang được tiết lộ. Kho lưu trữ ghi nhận tập này như một hồ sơ quản trị với ngày chính xác đến ngày là 30 tháng 1 năm 2026, mức độ tin cậy A và không có tổn hại được ghi nhận, cùng với phần còn lại của các mục an toàn AI trong Orca AI Incident Archive.

Ngày của kho lưu trữ không phải là ngày xuất bản

Hai nguồn được trích dẫn đồng thuận với nhau — cơ sở cho điểm A của kho lưu trữ — nhưng không nguồn nào được ghi ngày 30 tháng 1 năm 2026. Bài đăng nghiên cứu "Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks" mang dấu thời gian xuất bản là ngày 9 tháng 1 năm 2026 trong siêu dữ liệu trang của nó. Bài báo, "Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks", được gửi vào ngày 8 tháng 1 năm 2026 lúc 05:16 UTC và chưa được chỉnh sửa lại trên arXiv kể từ đó; phiên bản được kho lưu trữ trích dẫn, 2601.04603v1, là phiên bản duy nhất. Ngày 30 tháng 1 được nêu ở đây là ngày lưu hồ sơ theo độ chính xác ngày của chính kho lưu trữ, không phải là ngày của một trong hai tài liệu.

Điều đó quan trọng vì bản tóm tắt một dòng của kho lưu trữ mang ba con số mà người đọc có khả năng sẽ nhắc lại — 40x, 0,05%, hơn 1.700 giờ — và mỗi con số được đo dựa trên một mốc tham chiếu khác với điều mà cách diễn đạt của bản tóm tắt ngụ ý. Phần còn lại của bài viết này nói về những mốc tham chiếu đó là gì.

Ba thay đổi, xếp chồng lên nhau

Constitutional Classifiers được giới thiệu vào tháng 2 năm 2025 như một cặp bộ lọc được huấn luyện trên dữ liệu tổng hợp được tạo từ một “hiến pháp” bằng văn bản về nội dung được phép và bị cấm. Thế hệ đầu tiên đó chạy một bộ phân loại đầu vào riêng biệt và một bộ phân loại chỉ đầu ra, và bài đăng của chính Anthropic ghi nhận nó đã giảm tỷ lệ jailbreak thành công trên một mô hình không được phòng vệ từ 86% xuống 4,4% — chặn khoảng 95% các cuộc tấn công — với chi phí tính toán tăng thêm 23,7% và tỷ lệ từ chối tăng 0,38% đối với các truy vấn vô hại.

Bài báo mở đầu bằng việc chỉ ra cách có thể tách rời cặp đó. Hai lớp tấn công đã thành công. Tấn công tái dựng phân tán một yêu cầu có hại thành những mảnh trông vô hại — ví dụ trong bài báo nhúng một câu hỏi vào các giá trị trả về của những hàm phân bố khắp một cơ sở mã, rồi chỉ dẫn mô hình lắp ghép lại — nên bộ lọc đầu vào không bao giờ thấy một yêu cầu hoàn chỉnh. Tấn công làm mờ đầu ra khiến mô hình trả lời bằng mã thay thế hoặc ẩn dụ, nên một bộ phân loại chỉ đọc đầu ra sẽ đọc được thứ gì đó vô thưởng vô phạt; minh họa của bài báo có một mô hình mô tả việc điều chế axit clohydric như sự hợp nhất của "lửa của mặt trời" và "món quà của biển" trong khi bộ phân loại không bao giờ biết câu đố giải mã ra gì. Vì chỉ riêng đầu ra là không thể diễn giải nếu không có đầu vào, một bộ lọc chỉ đọc một phía của cuộc trao đổi không thể nhìn thấy tác hại.

Ba thay đổi được trình bày sau đây, và bài báo đánh giá từng thay đổi một cách riêng rẽ trước khi kết hợp chúng.

• Bộ phân loại trao đổi. Một bộ phân loại duy nhất đọc đầu ra của mô hình trong ngữ cảnh đầu vào, chấm điểm các token theo lô khi chúng được tạo ra, với bộ nhớ đệm lời nhắc giúp việc phát lại có chi phí hợp lý. Đội ngũ red-team thủ công phát hiện số lỗ hổng rủi ro cao trên mỗi lần thử jailbreak ít hơn 2,2 lần so với thiết kế hai bộ phân loại — nhưng tốn thêm khoảng 50% tài nguyên tính toán, vì giờ đây một mô hình cỡ Haiku đánh giá toàn bộ cuộc hội thoại.

• Một hệ thống phân tầng. Một bộ phân loại tầng đầu nhẹ sàng lọc mọi lưu lượng và chỉ chuyển những gì bị gắn cờ lên tầng thứ hai đắt đỏ. Thiết kế này khai thác một đặc tính của kiến trúc chứ không phải của mô hình: vì một lượt trao đổi bị gắn cờ được chuyển lên thay vì bị từ chối, tầng rẻ được phép có tỷ lệ dương tính giả cao, nghĩa là một mô hình yếu hơn và rẻ hơn có thể vận hành nó. Anthropic đặt ngưỡng cho tầng đầu sao cho phần lớn ví dụ lấy từ các bộ dữ liệu red-teaming của chính mình đều bị gắn cờ, và với những thay đổi trong pipeline suy luận cùng các mô hình cập nhật, báo cáo mức giảm 5,4 lần khối lượng tính toán so với bộ phân loại một lượt trao đổi. Khoảng 10% lưu lượng đến được tầng thứ hai, và tầng đầu chiếm khoảng 77% tổng chi phí.

• Các đầu dò kích hoạt tuyến tính. Thay đổi thứ ba tận dụng lại phép tính mà mô hình đã thực hiện. Một đầu dò tuyến tính đọc các kích hoạt của luồng dư tại mọi lớp khi các token được lấy mẫu, nên chi phí biên của nó gần bằng không — bài báo ước tính một đầu dò toàn lớp trên mô hình 27B tốn khoảng 377K FLOPs mỗi token, so với khoảng 8B cho một lượt truyền xuôi của mô hình 4B. Hai chi tiết huấn luyện hóa ra lại quan trọng: lấy trung bình logit trên cửa sổ trượt 16 token trong quá trình huấn luyện để một kích hoạt giả đơn lẻ không thể gắn cờ một chuỗi, và một hàm mất mát có trọng số softmax phạt các dương tính giả tự tin nặng hơn nhiều so với các âm tính thật tự tin. Trên một tập tĩnh gồm khoảng 7.000 cuộc trao đổi red-team, đầu dò tốt nhất đánh bại bộ phân loại bên ngoài cực nhỏ và gần sánh ngang với bộ phân loại Haiku 4.5. Khi kết hợp ensemble với một bộ phân loại bên ngoài, nó làm tốt hơn so với từng cái riêng lẻ, và phần giải thích của bài báo mới là phần thú vị: lỗi của đầu dò ít tương quan với lỗi của bộ phân loại hơn mức lỗi của hai bộ phân loại tương quan với nhau, nên đầu dò "dường như tận dụng các tín hiệu bổ sung cho những tín hiệu mà các bộ phân loại bên ngoài sử dụng".

Hệ thống sản xuất, qua chính những con số của nó

Những gì đã triển khai kết hợp hai cách tiếp cận trước đó: một đầu dò tuyến tính trên các hoạt hóa của Claude Sonnet 4.5 sàng lọc mọi lượt trao đổi trong quá trình sinh, và khi điểm của nó vượt ngưỡng, lượt trao đổi đó được chuyển sang bộ phân loại giai đoạn hai được tinh chỉnh từ Claude Haiku 4.5. Với các lượt trao đổi được chuyển lên, hai điểm số được kết hợp theo tỷ lệ 0,55 cho đầu dò và 0,45 cho bộ phân loại. Đầu dò đã chuyển khoảng 5,5% lưu lượng sản xuất lên bước tiếp theo.

Anthropic đã đánh giá nó trong một triển khai thử nghiệm ẩn trên lưu lượng sản xuất của Claude Sonnet 4.5 từ ngày 1 tháng 12 năm 2025 đến ngày 1 tháng 1 năm 2026. Tỷ lệ gắn cờ — tỷ lệ các truy vấn bị từ chối — là 0,05%, so với 0,38% mà công trình thế hệ đầu tiên báo cáo. Trong bài đăng blog, công ty mô tả đó là mức giảm 87% so với các bộ phân loại ban đầu, và riêng rẽ nói rằng hệ thống bổ sung "khoảng 1% chi phí tính toán nếu được áp dụng cho lưu lượng của Claude Opus 4.0".

Ba lưu ý nằm trong hai câu đó, và không lưu ý nào bị Anthropic che giấu — chúng chỉ dễ bị mất đi khi những con số được truyền đi.

Đầu tiên, việc so sánh tỷ lệ từ chối là so với 0,38%, con số được công bố cho thế hệ đầu tiên. Bảng 1 của chính bài báo liệt kê tỷ lệ từ chối trong môi trường sản xuất đối với bản tái triển khai hệ thống thế hệ trước của Anthropic là 0,073%, được đo trong tuần đầu tiên sau khi triển khai. Cả hai con số đều của Anthropic; chúng đo những thứ khác nhau — một bên là mức tăng từ chối đối với các truy vấn vô hại, bên kia là tỷ lệ truy vấn sản xuất bị từ chối — và tuyên bố 87% được tính từ con số lớn hơn trong hai con số đó.

Thứ hai, tỷ lệ từ chối của hệ thống đã triển khai không phải là thấp nhất trong bài báo. Bảng 1 đưa ra 0,038% cho bộ phân loại trao đổi đơn và 0,036% cho chuỗi hai tầng không có đầu dò; hệ thống sản xuất là 0,050%. Nó thắng về tính toán và độ bền vững, không phải về tỷ lệ từ chối, và bảng của chính nó cũng nói vậy.

Thứ ba, con số 1% compute và con số 40x không phải là cùng một phép đo. Con số 40x là so với bộ phân loại trao đổi đơn trong phần thứ ba của bài báo — một hệ thống mà bản thân nó đã đắt hơn khoảng 50% so với thế hệ trước. Bảng 1 của bài báo, lấy hệ thống thế hệ trước làm mốc 100,0, cho bộ phân loại trao đổi đó là 150,0, chuỗi hai tầng là 27,8 và hệ thống sản xuất là 3,5. Đọc so với thế hệ trước thay vì so với thiết kế trung gian, bảng này hàm ý mức giảm khoảng hai mươi chín lần. Con số ~1% trong blog lại là một cơ sở thứ ba: một con số chi phí phụ trội tuyệt đối được đo trên lưu lượng Claude Opus 4.0, đặt bên cạnh 23,7% của thế hệ đầu tiên.

1,736 giờ red-teaming xác lập được điều gì

Luận điểm về độ bền vững dựa trên một định nghĩa cụ thể, và chính định nghĩa là nơi lập luận tồn tại. Những người làm red-team của Anthropic được yêu cầu xây dựng các chiến lược nhằm trích xuất câu trả lời chi tiết cho tám câu hỏi mục tiêu CBRN cố định. Một phản hồi được tính là có hại nếu một rubric LLM chấm nó đạt ít nhất một nửa mức chi tiết của câu trả lời từ một mô hình không có biện pháp bảo vệ, và một "lỗ hổng rủi ro cao" là một cuộc tấn công thành công trên hơn năm trong số tám câu hỏi. Một jailbreak phổ quát, trong tài liệu này, là một chiến lược hoạt động trên phần lớn tập mục tiêu — thứ sẽ cho phép ai đó đưa một công thức cho người lạ thay vì may mắn có được một câu trả lời.

Hệ thống production đã tiêu tốn ước tính 1.736 giờ tích lũy cho red-teaming qua khoảng 198.000 lần thử, số giờ được ước tính từ nhật ký API theo các khung năm phút. Một lỗ hổng rủi ro cao đã được phát hiện, tỷ lệ phát hiện là 0,005 trên một nghìn truy vấn, và mất 30 giờ để tìm ra — thời gian phát hiện tối thiểu dài nhất so với bất kỳ hệ thống nào trong bài báo. Không có cuộc tấn công nào trả lời đủ cả tám câu hỏi mục tiêu ở mức một nửa chi tiết của một mô hình không được phòng vệ. Dòng so sánh là bản tái triển khai thế hệ trước của chính bài báo: 13 lỗ hổng rủi ro cao trên 695.000 truy vấn, tỷ lệ 0,01871 trên một nghìn, bao gồm bốn jailbreak trả lời mọi câu hỏi mục tiêu ở mức một nửa chi tiết, được tìm thấy trung bình trong 27 giờ.

Hai giới hạn của kết quả đó đáng được nêu rõ. Giới hạn thứ nhất nằm trong chính chú thích cuối trang của bài báo, gắn với phần mô tả chuỗi hai giai đoạn diễn ra trước hệ thống thăm dò: “các chuyên gia red-team ở cấp chuyên gia hoạt động bên ngoài chương trình săn thưởng của chúng tôi vẫn có thể phát hiện các jailbreak phổ quát cho hệ thống này, dù việc đó đòi hỏi nỗ lực đáng kể và các công cụ tự động.” Hệ thống sản xuất cuối cùng không phải là đối tượng của chú thích đó, nhưng ghi chú này cho thấy ngưỡng săn thưởng của Anthropic không phải là mức trần của những gì những kẻ tấn công quyết tâm có thể làm. Giới hạn thứ hai là kết luận của chính Anthropic trong bài đăng blog: “không có hệ thống AI nào hiện có trên thị trường sở hữu hàng phòng thủ vững chắc một cách hoàn hảo.” Quỹ Nghiên cứu Montana, một tổ chức nghiên cứu độc lập đã phân tích bản phát hành vào ngày 21 tháng 1 năm 2026, đã nêu cùng luận điểm một cách sắc bén hơn — ngưỡng tám câu hỏi là “một ngưỡng do bên phòng thủ lựa chọn”, và hai lớp tấn công mà chính Anthropic nêu tên “làm sứt mẻ nó chứ không vượt qua nó”.

Điều gì vẫn lọt qua

Anthropic nêu tên hai nhóm tấn công còn tồn tại và không tuyên bố đã khắc phục được chúng. Tấn công tái dựng, vốn chia nhỏ một yêu cầu rải rác qua ngữ cảnh, và tấn công làm mờ đầu ra, vốn ngụy trang câu trả lời bằng cách nói giảm nói tránh, ẩn dụ hoặc mã hóa, chính là những kỹ thuật đã đánh sập thế hệ đầu tiên; bộ phân loại trao đổi khiến chúng khó hơn, chứ không phải bất khả thi. Bài báo cũng ghi lại cái giá của việc tấn công: trên GPQA Diamond, Claude Opus 4 đạt 74,2% khi không bị can thiệp, 32,3% dưới một kiểu tấn công chia nhỏ và 49% dưới một kiểu khác. Các tác giả gọi sự biến thiên đó là "đáng lo ngại", với lập luận rằng một kẻ đối kháng chịu đầu tư vào vấn đề có lẽ sẽ tìm ra được những tấn công giữ lại nhiều năng lực hơn của mô hình mà vẫn xuyên qua được.

Công trình sau này đã xem xét nghiêm túc cả hai hướng mở, và nó độc lập với Anthropic theo cách mà bản thân bản phát hành không có.

• Boundary Point Jailbreaking, được gửi lên arXiv vào ngày 16 tháng 2 năm 2026 bởi các nhà nghiên cứu tại Viện An ninh AI Vương quốc Anh và OATML của Oxford, mô tả một cuộc tấn công tự động hoàn toàn hộp đen chỉ cần một bit cho mỗi truy vấn — bị gắn cờ hay không bị gắn cờ — và báo cáo nó là "thuật toán tấn công tự động hoàn toàn đầu tiên thành công trong việc phát triển các jailbreak phổ quát chống lại Constitutional Classifiers". Mục tiêu của nó là bộ phân loại bảo vệ Claude Sonnet 4.5 tính đến ngày 27 tháng 11 năm 2025, mà bài báo trích dẫn tới công trình thế hệ đầu tiên năm 2025 thay vì tới chuỗi thăm dò; bài báo cũng chuyển tải phát hiện sơ bộ của Anthropic rằng các bộ phân loại dựa trên thăm dò "có thể chống lại loại tấn công này tốt hơn so với bộ phân loại dựa trên văn bản", và rằng việc huấn luyện trên các chuỗi tấn công cải thiện khả năng phát hiện.

• Trojan-Speak, được gửi vào ngày 30 tháng 3 năm 2026 bởi các tác giả trong Anthropic Fellows Program và Virginia Tech, tấn công từ một hướng khác: tinh chỉnh đối kháng dạy cho mô hình một cách mã hóa mà bộ phân loại không thể đọc được, báo cáo tỷ lệ né tránh bộ phân loại trên 99% đối với các mô hình từ 14B tham số trở lên với mức suy giảm năng lực dưới 5%, trên các câu hỏi CBRN từ bộ bug-bounty. Bài báo lưu ý rằng chuỗi phân loại ưu tiên probe vẫn để "bộ phân loại LLM" đưa ra quyết định chặn cuối cùng, và nhận thấy các probe kích hoạt cải thiện đáng kể độ bền vững trước cuộc tấn công mã hóa.

Không bài báo nào trong hai bài phản bác những con số mà Anthropic công bố cho triển khai của chính mình. Cả hai đều coi cascade là thứ cần đánh bại. Đó là mức soi xét nhiều hơn mức mà bản công bố thu hút ở những nơi khác: một cuộc tìm kiếm trên các chỉ mục tin tức trong khoảng thời gian công bố không cho thấy bất kỳ đưa tin nào của các hãng truyền thông chính thống về bài đăng ngày 9 tháng 1, và ngoài hai bài báo này, phân tích độc lập duy nhất được tìm thấy cho bài viết này là của Montana Research Foundation, công bố ngày 21 tháng 1 năm 2026.

Tại sao kho lưu trữ lại xếp nội dung này vào mục quản trị?

Loại của bản ghi là policy, thẻ type là GOV và mức độ nghiêm trọng là info, nghe có vẻ kỳ lạ đối với một bài báo về kiến trúc bộ phân loại cho đến khi bạn xem xét điều thực sự được ghi lại. Không có nạn nhân, không có hạn chót công bố và không có nhóm dân cư bị ảnh hưởng nào ngoài những người mà truy vấn của họ được bộ lọc chấm điểm. Điều các tài liệu chứa là một nhà cung cấp công bố một kiến trúc, một phép đo triển khai và một giao thức red-teaming đủ chi tiết để người khác kiểm tra phép tính — và, trong phần ghi nhận, nêu tên các tổ chức bên ngoài đã red-team các phiên bản trước đó: UK AISI, US CAISI và FAR.AI, với HackerOne vận hành chương trình bounty.

Mối quan tâm về quản trị chính là đường cong chi phí. Một biện pháp bảo vệ làm tăng thêm một phần tư vào giá của mỗi truy vấn là thứ mà đội sản phẩm sẽ tranh luận để tắt đi; phân tích Montana nêu chính xác điểm này, khi viết rằng ở mức 23,7%, đội an toàn phải biện minh cho việc bật nó lên, còn ở khoảng 1%, “đội sản phẩm phải biện minh cho việc tắt nó đi”. Liệu con số đó có đúng bên ngoài hệ thống của chính Anthropic hay không là câu hỏi còn bỏ ngỏ, và cùng phân tích đó nêu rõ phép thử: đầu dò đọc các activation, activation mang tính đặc thù theo mô hình, và “nếu không như vậy, thì đó là một kết quả của Anthropic”.

Điều mà hồ sơ không chứa là bất kỳ bằng chứng nào cho thấy hệ thống đã thất bại trong môi trường sản xuất. Không có sự cố, không có việc vượt qua kiểm soát, không có tổn hại nào cho người dùng xuất hiện trong cả hai tài liệu được trích dẫn, và kho lưu trữ ghi tổn hại thực tế là null. Ngày nộp 30 tháng 1 vẫn chưa được các nguồn giải thích; công việc mà nó mô tả được ghi ngày 8 và 9 tháng 1 năm 2026.