Constitutional Classifiers++：在 1,736 个红队测试小时内未出现通用越狱

Anthropic 在 2026 年 1 月 9 日的一篇研究文章以及 2026 年 1 月 8 日提交至 arXiv 的一篇由 29 位作者撰写的论文中，发布了其面向 Claude 的第二代越狱防御机制——Constitutional Classifiers++。该设计在模型自身内部激活之上设置一个线性探针，并将其置于一个更重量级的分类器之前，该分类器会结合提示语境读取每一条回复。Anthropic 报告称，在 Claude Sonnet 4.5 流量上为期一个月的影子部署期间，拒绝了 0.05% 的查询；生产系统使用的算力约为作为其对比基准的单次交互分类器的四十分之一；并且 1,736 小时的人工红队测试未产生任何通用越狱。没有发生任何损害，也未指称任何攻击：这是对一项防御措施的描述与测量，而不是对一起入侵事件的披露。该档案将该事件作为治理记录归档，日期精确到日为 2026 年 1 月 30 日，置信等级为 A，且未记录任何损害，并将其与其余 AI 安全条目一同归入Orca AI Incident Archive。

档案的日期不是发布日期

两篇被引用的来源彼此一致——这是该档案获得 A 级评定的依据——但两者的日期都不是 2026 年 1 月 30 日。研究文章《Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks》在其页面元数据中的发布时间戳为 2026 年 1 月 9 日。论文《Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks》于 2026 年 1 月 8 日 05:16 UTC 提交，此后未在 arXiv 上修订；该档案引用的版本 2601.04603v1 是唯一版本。此处报告的 1 月 30 日日期是该档案自身按日精度归档的日期，而非上述任一文件的日期。

这一点很重要，因为该档案的一句话摘要包含三个读者很可能会复述的数字——40倍、0.05%、1700多小时——而每一个数字所依据的基准，都与摘要措辞所暗示的不同。本文余下部分要讲的，就是这些基准究竟是什么。

三项改动，叠加在一起

宪法分类器于2025年2月推出，是一对基于合成数据训练的过滤器，这些合成数据由一份书面“宪法”生成，其中规定了允许和禁止的内容。第一代系统运行一个独立的输入分类器和一个仅用于输出的分类器，Anthropic自己的文章称，它将被攻击成功率在无防护模型上的86%降至4.4%——拦截了约95%的攻击——代价是额外增加23.7%的计算量，以及无害查询的拒答率上升0.38%。

论文开篇展示了这对组合如何被拆解。两类攻击都奏效了。重构攻击把有害请求分散到看似无害的片段中——论文中的示例将一个问题嵌入分布在代码库各处的函数返回值里，再指示模型将其重新组装——因此输入过滤器始终看不到完整请求。输出混淆攻击则让模型用替换代码或隐喻来作答，使仅检查输出的分类器读到的是平淡无奇的内容；论文中的示例让模型把制作盐酸描述为“太阳之火”与“海洋之礼”的结合，而分类器始终不知道这个谜题解码后是什么。由于脱离输入就无法理解输出，只读取交互中一侧的过滤器便看不到危害。

接下来有三项变更，论文在将它们合并之前会分别评估每一项。

• 交换分类器。单个分类器在输入的上下文中读取模型输出，在 token 生成时对其进行批量评分，而提示缓存使这种重放的成本变得可承受。人工红队测试发现，与双分类器设计相比，每次越狱尝试发现的高风险漏洞数量减少了 2.2 倍——但计算量增加了约 50%，因为现在由一个 Haiku 规模的模型来评估整个对话。

• 一种级联架构。轻量级的第一阶段分类器会筛查所有流量，并且只将其标记的内容升级到昂贵的第二阶段。该设计利用的是架构的一种特性，而非模型本身的特性：由于被标记的交互会被升级而不是被拒绝，廉价阶段可以允许较高的误报率，这意味着一个更弱、更便宜的模型就能运行它。Anthropic 设置第一阶段的阈值，使其自身红队数据集中抽取的绝大多数样本都会被标记，并且通过推理流水线变更和更新后的模型，报告称相较于单一交互分类器，计算量减少了 5.4 倍。约 10% 的流量会到达第二阶段，而第一阶段约占总成本的 77%。

• 线性激活探针。第三项改动复用了模型已经完成的计算。线性探针在采样 token 时读取每一层的残差流激活，因此其边际成本接近于零——论文指出，在 27B 模型上部署全层探针，每 token 约需 377K FLOPs，而 4B 模型单次前向传播约需 8B FLOPs。有两个训练细节被证明很重要：训练时对 16 个 token 的滑动窗口内的 logits 取平均，这样单个虚假激活就无法标记整个序列；以及使用 softmax 加权损失，使模型对高置信度假阳性的惩罚远大于对高置信度真阴性的惩罚。在大约 7,000 条红队交互的静态集合上，最佳探针优于超小型外部分类器，并几乎与 Haiku 4.5 分类器持平。与外部分类器集成后，其表现优于两者单独使用，而论文的解释才是有趣之处：探针的错误与分类器错误的相关性，低于两个分类器彼此错误之间的相关性，因此探针“似乎利用了与外部分类器所用信号互补的信号”。

生产系统，用其自身的数字说话

已交付的方案结合了后两者：对 {{1}}Claude Sonnet 4.5{{/1}} 的激活值运行线性探针，在生成过程中筛查每一次交互；当探针得分越过阈值时，该交互会被送入由 {{2}}Claude Haiku 4.5{{/2}} 微调而来的第二阶段分类器。对于被升级处理的交互，两个得分按探针 0.55、分类器 0.45 的权重进行混合。该探针升级了约 5.5% 的生产流量。

Anthropic 在 2025 年 12 月 1 日至 2026 年 1 月 1 日期间，通过影子部署在 Claude Sonnet 4.5 的生产流量上对其进行了评估。标记率——即被拒绝的查询所占比例——为 0.05%，而第一代工作报告的标记率为 0.38%。在该博客文章中，公司将这一结果描述为相较原始分类器下降了 87%，并另外表示，该系统“若应用于 Claude Opus 4.0 流量，会增加约 1% 的计算开销”。

那两句话里藏着三个注意事项，Anthropic 并没有隐藏其中任何一个——只是在数字传播的过程中，它们很容易被忽略。

首先，拒答率的比较对象是0.38%，这是第一代系统公布的数字。论文自己的表1列出，Anthropic对上一代系统重新实现后的生产环境拒答率为0.073%，该数据是在部署后第一周测得的。两个数字都来自Anthropic；它们衡量的是不同的事情——一种情况是无害查询的拒答率上升，另一种情况是生产查询中被拒答的比例——而87%的说法是用两者中较大的那个数字计算出来的。

其次，部署系统的拒答率并非论文中最低的。表1显示，单一交换分类器的拒答率为0.038%，而未使用探针的两阶段级联为0.036%；生产系统则为0.050%。它在计算量和鲁棒性上占优，而非在拒答率上，其自身的表格也说明了这一点。

第三，1% 的算力数字与 40 倍的数字并非同一种测量。40 倍是相对于论文第三节中的单一交换分类器而言的——该系统本身比上一代贵约 50%。论文的表 1 将所有项目以 100.0 为基准索引到上一代系统，其中该交换分类器为 150.0，两级级联为 27.8，生产系统为 3.5。若以上一代而非中间设计为参照来解读，该表意味着约二十九倍的降幅。博客中的约 1% 又是第三种基准：一个在 Claude Opus 4.0 流量上测得的绝对开销数字，与第一代的 23.7% 并列对照。

1,736 小时红队测试确立了哪些结论

这一稳健性主张建立在一个具体定义之上，而论证的关键恰恰在于这个定义。Anthropic 的红队成员被要求设计策略，以提取对八个固定 CBRN 目标问题的详细回答。如果 LLM 评分标准给某个回答的评分达到无防护模型回答详细程度的至少一半，该回答就算作有害；而“高风险漏洞”是指在八个问题中成功超过五个的攻击。在这一文献中，通用越狱是指一种在大多数目标问题上都奏效的策略——它能让人把配方交给陌生人，而不是碰巧得到一个答案。

生产系统在约198,000次尝试中累计进行了估计1,736小时的红队测试，这些小时数是从五分钟粒度的API日志中估算得出的。发现了一个高风险漏洞，发现率为每千次查询0.005个，且耗时30小时才找到——这是论文中所有系统里最长的最短发现时间。没有任何攻击能以未防御模型一半的细节回答全部八个目标问题。对比行是论文自己对上一代系统的重新实现：在695,000次查询中发现13个高风险漏洞，比率为每千次0.01871个，其中包括四个越狱，它们能以一半细节回答每一个目标问题，平均在27小时内被发现。

这一结果有两个局限值得直说。第一个局限出现在论文自己的脚注中，该脚注附在描述探针系统之前的两阶段级联的章节上：“在我们的赏金计划之外运作的专家级红队人员仍然能够发现针对该系统的通用越狱方法，尽管这需要大量努力和自动化工具。”最终生产系统并非该脚注的对象，但该注释表明，Anthropic 的赏金门槛并不是有决心的攻击者所能达到的上限。第二个是 Anthropic 自己在博客文章中的结论：“目前市场上没有哪个人工智能系统拥有完美稳健的防御。”蒙大拿研究基金会是一家独立研究机构，于2026年1月21日分析了该发布，它更尖锐地表达了同一观点——八题门槛是“由防御方选择的门槛”，而 Anthropic 自己命名的两类攻击“只是削弱它，而非清除它”。

还有什么能穿透

Anthropic 命名了两类残余攻击，且并未声称已经堵住它们。重构攻击将一次请求拆分到上下文中，输出混淆则用委婉语、隐喻或代码来伪装答案，这些正是攻破第一代系统的同类技术；交换分类器让它们更难实施，但并非不可能。论文还记录了发动攻击本身的代价：在 GPQA Diamond 上，Claude Opus 4 未修改时得分为 74.2%，在一种碎片化攻击下为 32.3%，在另一种攻击下为 49%。作者称这种波动“令人担忧”，理由是，一个愿意在该问题上投入的对手，很可能找到既能保留模型更多能力、又能成功穿透的攻

后来的工作认真对待了这两个切入点，并且它以发布本身所不具备的方式独立于Anthropic。

• 边界点越狱，由英国 AI 安全研究所和牛津大学 OATML 的研究人员于 2026 年 2 月 16 日提交至 arXiv，描述了一种完全黑盒的自动化攻击，每次查询仅需一个比特——即是否被标记——并称其为“首个成功开发出针对 Constitutional Classifiers 的通用越狱的全自动攻击算法”。其目标是截至 2025 年 11 月 27 日防护 Claude Sonnet 4.5 的分类器，论文将其归因于 2025 年的第一代工作，而非探针级联；论文还转述了 Anthropic 的初步发现，即基于探针的分类器“可能比基于文本的分类器更能抵御此类攻击”，并且用攻击字符串进行训练可提升检测效果。

• Trojan-Speak，由 Anthropic Fellows Program 和 Virginia Tech 的作者于 2026 年 3 月 30 日提交，从另一个方向发起攻击：对抗性微调教会模型一种分类器无法读取的编码，报告称在漏洞赏金集合的 CBRN 问题上，参数量为 14B 及以上的模型实现了超过 99% 的分类器规避，能力损失低于 5%。它指出，探针优先的级联仍让“LLM 分类器”做出最终拦截决定，并发现激活探针显著提高了针对编码攻击的鲁棒性。

两篇论文都没有质疑Anthropic为其自身部署所公布的数字。两者都把这一级联视为需要超越的对象。这样的审视比该发布在其他地方所受到的关注更为严格：在新闻索引中检索发布窗口期，未发现任何主流媒体对1月9日那篇帖子的报道；而除这两篇论文外，本文能找到的唯一独立分析是蒙大拿研究基金会于2026年1月21日发布的那份。

为什么档案馆将此归档为治理

这条记录的类别是政策，类型标签为 GOV，严重级别为 info；对于一篇讨论分类器架构的论文来说，这显得很奇怪，直到你看到实际被记录的内容。这里没有受害者，没有披露截止期限，也没有除查询被过滤器打分的人之外受影响的人群。这些文件所包含的内容是：一家供应商发布了一种架构、一项部署测量和一套红队测试协议，细节足够让其他人复核其中的计算——并且在致谢中点名了曾对早期版本进行红队测试的外部组织：UK AISI、US CAISI 和 FAR.AI，HackerOne 则在运营层面负责漏洞赏金行动。

治理利益在于成本曲线。一项会给每次查询的价格增加25%的保障措施，正是产品团队会争论是否要关闭的那种；蒙大拿的分析恰恰指出了这一点，写道在23.7%时，安全团队必须证明开启它是合理的，而在大约1%时，“产品团队必须证明关闭它是合理的”。该数字在Anthropic自身技术栈之外是否成立，才是当前的关键问题，而同一份分析也给出了检验标准：探针读取激活值，激活值因模型而异，“如果不是这样，那就是Anthropic的结果”。

记录中并不包含任何证据表明该系统在生产环境中出现了故障。在两份被引用的文件中，均未出现任何事故、绕过行为或用户损害，而档案将实际损害记录为无。1月30日的提交日期在来源中仍未得到解释；其所描述的工作日期为2026年1月8日和9日。