Bẻ khóa tại điểm biên: AISI đã phá hai bộ lọc AI tiên phong chỉ với một bit mỗi truy vấn như thế nào

Vào ngày 17 tháng 2 năm 2026, Viện An ninh AI Vương quốc Anh đã công bố Boundary Point Jailbreaking, một phương pháp tự động đã học cách vượt qua hai trong số các hàng phòng thủ AI mạnh nhất đang được triển khai trong khi chỉ được cho biết liệu mỗi truy vấn có bị chặn hay không. Phương pháp này tối ưu hóa một tiền tố đối kháng được đặt trước một yêu cầu có hại, sử dụng một lộ trình gồm các mục tiêu ít bị làm rối hơn và tìm kiếm các "điểm biên" trên ranh giới quyết định của một bộ phân loại. Đối với Constitutional Classifiers của Anthropic, bảo vệ Claude Sonnet 4.5, nó đã nâng điểm đánh giá theo rubric trung bình trên các câu hỏi lạm dụng sinh học chưa từng thấy từ 0% lên 25,5% với khoảng 330 USD và 660.000 truy vấn. Đối với bộ phân loại đầu vào của OpenAI cho GPT-5, nó đạt 75,6% với khoảng 210 USD. Không có hệ thống nào bị xâm phạm và không có người nào bị hại: AI Incident Archive ghi nhận đây là một hồ sơ nghiên cứu có mức độ nghiêm trọng trung bình, cấp độ tin cậy A, không kèm theo tranh chấp. Bản thân hồ sơ, danh sách trích dẫn của nó và các mục nghiên cứu được lưu xung quanh nó được lưu giữ trong Orca AI Incident Archive, nơi liên kết trực tiếp cả bài đăng của AISI và bài báo arXiv.

Cuộc tấn công tối ưu hóa điều gì và được phép nhìn thấy những gì

Bài báo là Jailbreaking điểm biên của các LLM hộp đen, do Xander Davies, Giorgi Giglemiani, Edmund Lau, Eric Winsor, Geoffrey Irving và Yarin Gal viết — được đăng lên arXiv vào ngày 16 tháng 2 năm 2026, được chỉnh sửa hai ngày sau đó, và được AISI công bố vào ngày ở giữa. Đóng góp của nó không phải là một chuỗi jailbreak mới mà là một quy trình tìm kiếm để tìm ra một chuỗi như vậy trong điều kiện ngân sách thông tin bị cố ý bóp nghẹt.

Các cuộc tấn công tự động trước đó, như cách các tác giả mô tả, dựa vào quyền truy cập hộp trắng hoặc hộp xám: điểm số của bộ phân loại, gradient, hoặc một thư viện các jailbreak mà ai đó đã viết sẵn. BPJ giả định kẻ tấn công chỉ có quyền truy cập API và một bit duy nhất mỗi truy vấn — bị gắn cờ hay không bị gắn cờ. Bit đó là toàn bộ tín hiệu mục tiêu, và mọi phần của phương pháp đều tồn tại để vắt thông tin xếp hạng ra từ nó.

• Đối tượng được tối ưu hóa là một tiền tố. Một chuỗi token có độ dài bị giới hạn được nối vào trước một mục tiêu có hại, và quá trình tìm kiếm biến đổi nó bằng cách thay thế, chèn hoặc xóa từng token một. Tiền tố được tối ưu hóa một lần rồi sau đó được áp dụng cho những câu hỏi mà nó chưa từng được tinh chỉnh trên đó; chính sự chuyển giao đó là điều mà từ "universal" muốn nói đến.

• Chương trình huấn luyện biến một mục tiêu khó thành một nấc thang. Các ký tự trong chuỗi độc hại được thay thế ngẫu nhiên bằng các ký tự nhiễu, và độ khó được tham số hóa theo tỷ lệ bị làm nhiễu. Ở mức nhiễu cao, bộ phân loại gần như chỉ thấy rác và rất dễ vượt qua; khi cuộc tấn công thành công, mức nhiễu được giảm dần theo từng bước cho đến khi chuỗi độc hại gốc được truyền đi mà không bị chỉnh sửa.

• Điểm ranh giới là mẹo xếp hạng. Với mỗi mục tiêu ứng viên, phương pháp lấy mẫu các biến thể nhiễu và chỉ giữ lại những biến thể mà tập hợp các tiền tố ứng viên không nhất quán với chính nó — một số được đánh dấu, một số không. Những mục tiêu mà ai cũng giải được, hoặc không ai giải được, không cho biết tiền tố nào tốt hơn, và bị loại bỏ. Đây là phần khiến một bit cho mỗi truy vấn là đủ.

• Bản thân quá trình tìm kiếm là một vòng lặp tiến hóa tinh hoa. Chọn một tiền tố cha, đột biến một token, chấm điểm đứa con dựa trên số điểm biên hiện tại mà nó giải được, giữ lại nếu nó vượt qua ít nhất một ứng viên đương nhiệm.

Thí nghiệm loại bỏ thành phần là bằng chứng rõ ràng nhất cho thấy việc lựa chọn điểm biên đang phát huy tác dụng: BPJ hội tụ nhanh hơn khoảng năm lần so với cùng lộ trình đó nhưng dùng các tập đánh giá ngẫu nhiên, và một đường cơ sở best-of-N gồm các tiền tố ngẫu nhiên không bao giờ hội tụ trong giới hạn ngân sách. Các tác giả cũng đã chạy quy trình này với một bộ phân loại GPT-4.1-nano rẻ, được nhắc lệnh, tối ưu trên một câu hỏi HarmBench duy nhất và lặp lại trên năm câu hỏi — mỗi lần chạy khoảng 25.000 đến 30.000 truy vấn — và nhận thấy tiền tố thu được chuyển sang được toàn bộ tập HarmBench, kể cả các chủ đề nằm ngoài danh mục của câu hỏi ban đầu.

Hai chỉ tiêu, và tỷ lệ phần trăm thực sự đo lường điều gì

Các bài kiểm tra tiên phong đã sử dụng Claude Sonnet 4.5 (claude-sonnet-4-5-20250929, tính đến ngày 27 tháng 11 năm 2025) đằng sau Constitutional Classifiers, và gpt-5 đằng sau bộ phân loại đầu vào của OpenAI (tính đến ngày 6–7 tháng 11 năm 2025). Trong cả hai trường hợp, các tác giả đã tiếp cận bộ phân loại một cách gián tiếp, bằng cách gửi truy vấn qua sản phẩm và kiểm tra xem phản hồi trả về là từ chối hay bị gắn cờ.

Cách thiết lập đó quan trọng khi đọc các con số. “Score” không phải là một ranh giới nhị phân; nó được tính cho từng câu hỏi bằng một rubric kiểm tra xem các chi tiết kỹ thuật cụ thể có xuất hiện trong câu trả lời hay không, và các mức trung bình được báo cáo loại trừ các đầu ra trống. Max@50 là điểm tốt nhất qua năm mươi lần thử trên một câu hỏi. Do đó, mức trung bình 25,5% không phải là “một trong bốn cuộc tấn công đã thành công” — đó là chất lượng rubric trung bình của những câu trả lời thực sự được tạo ra.

Đặt trong bối cảnh lịch sử của chính bên phòng thủ, kết quả vẫn hết sức rõ rệt. Constitutional Classifiers trước đây đã chịu đựng hơn 3.700 giờ red-teaming do con người thực hiện trên hơn 300.000 lượt tương tác trò chuyện, và chỉ có một cuộc jailbreak phổ quát do con người dẫn dắt hoàn toàn thành công được tìm thấy trong khoảng thời gian đó. Anthropic nói với AISI rằng BPJ sẽ đáp ứng ngưỡng jailbreak phổ quát được mô tả trong chương trình săn lỗi của mình.

Bộ phân loại đầu vào GPT-5 trụ vững kém hơn đáng kể dưới cùng một cuộc tấn công: trung bình 75,6% và 94,3% ở mức tốt nhất trong 50 lần, so với 25,5% và 39,9% của Constitutional Classifiers, tăng lên 68% và 80,4% khi áp dụng thêm lời nhắc khơi gợi cơ bản lên trên tiền tố.

Cả hai công ty đều diễn đạt kết quả theo cách của riêng mình, như được AISI trích dẫn. Anthropic đã xác minh rằng BPJ là cuộc tấn công hộp đen hoàn toàn tự động đầu tiên mà họ biết có thể thành công trong thiết lập Constitutional Classifiers. OpenAI đã xác minh rằng đây là cuộc tấn công tự động đầu tiên mà họ biết có thể thành công chống lại bộ phân loại đầu vào của mình cho GPT-5 mà không dựa vào các cuộc tấn công hạt giống do con người thực hiện. Cả hai tuyên bố đều được giới hạn trong phạm vi hiểu biết của từng công ty, và không tuyên bố nào được công ty công bố như một khuyến cáo độc lập.

Chi phí mới là câu chuyện, không phải tỷ lệ phần trăm

Mức trung bình 25,5% sẽ chẳng có gì đáng chú ý trong hầu hết các bài báo về jailbreak. Điều khiến kỷ lục này trở thành một mục mang tính bước ngoặt trong kho lưu trữ chính là tỷ lệ giữa năng lực và ngân sách: hai trăm đến ba trăm đô la, và khoảng một triệu rưỡi truy vấn trên cả hai mục tiêu, cho một cuộc tấn công chạy không cần giám sát và không cần con người can thiệp.

Trước BPJ, giả định đang được vận hành đằng sau các biện pháp phòng thủ dựa trên bộ phân loại là việc tìm ra một jailbreak phổ quát đòi hỏi nỗ lực chuyên môn bền bỉ của con người — con số 3.700 giờ là phát biểu rõ ràng nhất về giả định đó. BPJ thay thế nhóm red team bằng một vòng lặp tìm kiếm đọc một giá trị boolean duy nhất và cải thiện dựa trên nó. Biện pháp phòng thủ vẫn hoạt động phần lớn thời gian; kinh tế học của việc tấn công nó đã thay đổi.

Cả hai phòng thí nghiệm đều phản bác cách diễn giải mạnh nhất, và AISI đưa phản hồi của họ vào bài đăng thay vì che giấu. Anthropic lưu ý rằng BPJ đòi hỏi nhiều tháng nỗ lực nghiên cứu và phát triển, và rằng Constitutional Classifiers được thiết kế để chống lại những tác nhân có kỹ năng thấp hơn, những người làm việc với ngân sách truy vấn nhỏ hơn, dành ít thời gian hơn cho việc phát triển tấn công, và sẽ gặp khó khăn khi triển khai các chi tiết của phương pháp. Đó là một tuyên bố về việc ai có thể tái tạo BPJ, chứ không phải về việc liệu nó có hiệu quả hay không.

Tại sao bên bào chữa phải tính đến xuyên suốt các cuộc trò chuyện

Câu quan trọng nhất trong bài đăng của AISI không phải là một tỷ lệ thành công. Đó là nhận định rằng BPJ "khó phòng thủ trong các tương tác riêng lẻ nhưng tạo ra nhiều cờ cảnh báo trong quá trình tối ưu hóa", và do đó, để phòng thủ hiệu quả cần bổ sung các phương pháp cho từng tương tác bằng giám sát ở cấp độ lô.

Sự bất đối xứng mang tính cấu trúc chứ không phải ngẫu nhiên. Một bộ phân loại theo từng cuộc hội thoại phải đưa ra phán đoán trên từng đầu vào một, và một tiền tố được chọn để nằm gần ranh giới quyết định được chọn cụ thể nhằm khiến phán đoán đó sai một cách sát nút. Giám sát ở cấp lô nhìn vào một đối tượng khác: lưu lượng. Một lượt tối ưu hóa tiêu tốn 660.000 truy vấn ắt phải kích hoạt vô số cờ trên đường đi, và những cờ đó vẫn hiển hiện ngay cả khi không có cuộc hội thoại đơn lẻ nào đủ để kết tội.

Bình luận của chính OpenAI gửi AISI là phiên bản thực tiễn của lập luận này. Tổ chức này lưu ý rằng việc phát triển và thực thi BPJ diễn ra trên các tài khoản không bị áp dụng biện pháp cưỡng chế như cấm tài khoản, và rằng trên các tài khoản tiêu chuẩn, việc bị gắn cờ nhiều lần có khả năng dẫn đến cấm tài khoản — điều mà OpenAI mô tả là ví dụ điển hình của chính kiểu giám sát cấp lô mà AISI khuyến nghị. Biện pháp kiểm soát có thể đã phát hiện cuộc tấn công này không phải là một bộ phân loại tốt hơn mà là một biện pháp ở cấp tài khoản.

Những gì các tác giả nói rằng cuộc tấn công không thể làm được

BPJ tấn công bộ phân loại đầu vào, không phải mô hình. Trong cả hai thiết lập tiên phong, các tác giả đã dùng một jailbreak đơn giản do con người tìm ra để vượt qua chính các lần từ chối của mô hình chính, nên điểm số đo được mô tả điều xảy ra sau khi một bộ phân loại đã bị đánh bại và mô hình vẫn sẵn sàng trả lời. Không có nội dung nào trong bài báo cho thấy BPJ đánh bại trực tiếp quá trình huấn luyện từ chối của một mô hình.

• Nó không hề kín đáo. Các tác giả nói rõ rằng các cuộc tấn công BPJ gây ra một số lượng lớn cờ cảnh báo từ bộ phân loại, điều này sẽ dẫn đến việc bị cấm trong các điều kiện thực tế.

• Nó rất ngốn truy vấn. Các lần chạy được công bố tốn 660.000 và 800.000 truy vấn. Đó là một rào cản thực sự đối với việc sử dụng thông thường, và là một tín hiệu rõ ràng cho bất kỳ ai đang theo dõi lưu lượng truy cập.

• Nó giả định một bộ phân loại gần như tất định. Các tác giả nói rõ rằng họ không xem xét các thiết lập có bộ phân loại mang tính ngẫu nhiên cao.

• Phương pháp được giữ kín một phần. Để hạn chế rủi ro phổ biến, bài báo tóm lược các chi tiết thuật toán quan trọng và không công bố chuỗi tấn công lẫn mã. Đó là một lựa chọn có thể biện minh, và cũng là lý do kết quả không thể được tái tạo độc lập chỉ từ bài công bố.

Những gì đã được thực hiện về việc đó, và những gì chưa được xác lập

AISI cho biết họ đã chia sẻ kết quả với cả hai công ty trước khi công bố, rằng cả hai đã tái tạo cuộc tấn công với sự hợp tác của viện, và rằng cả hai đã phát triển các biện pháp giảm thiểu dành riêng cho BPJ. Bài báo nêu rằng việc tiết lộ đã diễn ra ít nhất sáu tuần trước khi công bố. Bài đăng không đưa ra chi tiết kỹ thuật nào về các biện pháp giảm thiểu đó, và không cho biết thời điểm chúng được triển khai hay cách chúng được xác thực.

Đó cũng là giới hạn của những gì bài viết này có thể xác nhận. Mức xếp hạng độ tin cậy A của hồ sơ phản ánh chất lượng tài liệu, chứ không phải một cuộc kiểm nghiệm độc lập đối với cuộc tấn công: các tài liệu chính chỉ có hai, và chúng đến từ cùng một tổ chức. Những xác nhận của Anthropic và OpenAI đến với hồ sơ thông qua lời kể của AISI, chứ không qua các tài liệu mà bài viết này có thể đọc trực tiếp. Các nội dung đưa tin bên ngoài AISI chỉ nhắc lại bài đăng blog — các bài viết trên báo chí ngành từ It Does What Now? và Resultsense lặp lại các con số mà không có kiểm nghiệm độc lập — và các tìm kiếm cho bài viết này không tìm thấy báo chí chính thống nào đưa tin gốc về kết quả này.

Không có gì trong hồ sơ cho thấy BPJ được sử dụng nhắm vào một hệ thống đang vận hành bên ngoài một cuộc thử nghiệm, và kho lưu trữ không ghi nhận tác hại nào trong thực tế. Bài báo là bản thảo trước khi bình duyệt trên arXiv, không phải một ấn phẩm đã qua bình duyệt. Các tuyên bố "đầu tiên" được các phòng thí nghiệm đưa ra giới hạn một cách cẩn thận — "điều đầu tiên mà họ biết đến" — và nên được hiểu theo cách đó thay vì như một khẳng định tuyệt đối.

Có một giới hạn nữa dễ bị diễn giải quá mức. Các mục tiêu là những cấu hình hiện hành vào tháng 11 năm 2025, và bài đăng của AISI không nêu tên phòng thủ nào mới hơn hai phòng thủ mà họ đã tấn công. Constitutional Classifiers và cơ chế lọc đầu vào của OpenAI trông như thế nào sau các biện pháp giảm thiểu dành riêng cho BPJ thì bản ghi này không nói — và cả blog lẫn bài báo đều không khẳng định rằng các phòng thủ về sau vẫn dễ bị tấn công bởi cùng một tiền tố đó.

Kết luận bền vững nằm ở việc đặt tuyến phòng thủ ở đâu. Một bộ phân loại đánh giá từng cuộc hội thoại một là sai hình dạng đối với một kẻ tấn công được phép thử hàng trăm nghìn lần, bởi chính quá trình tìm kiếm của cuộc tấn công là thứ tố cáo nó. Khuyến nghị của AISI là theo dõi cả lô thay vì từng thông điệp, xuất phát từ cơ chế của cuộc tấn công, và điều đó vẫn đúng dù BPJ có bao giờ được dùng lại hay không.