边界点越狱：AISI 如何用每次查询一个比特攻破两个前沿 AI 过滤器

2026 年 2 月 17 日，英国人工智能安全研究所发布了 Boundary Point Jailbreaking，这是一种自动化方法，它学会了绕过两种已部署的最强 AI 防御，而系统只被告知每次查询是否被拦截。它会优化放置在有害请求之前的对抗性前缀，使用由较少混淆的目标组成的课程，并在分类器的决策边缘搜索“边界点”。针对 Anthropic 的 Constitutional Classifiers（用于保护 Claude Sonnet 4.5），它在未见过的生物误用问题上将平均评分标准分数从 0% 提高到 25.5%，代价约为 330 美元和 660,000 次查询。针对 OpenAI 为 GPT-5 提供的输入分类器，它以约 210 美元的代价达到了 75.6%。没有系统被攻破，也没有人受到伤害：AI 事件档案将此归档为一份中等严重性、置信等级为 A 且未附有任何争议的研究记录。该记录本身、其引用列表以及围绕它归档的研究条目都保存在 Orca AI Incident Archive中，该档案直接链接了 AISI 的帖子和 arXiv 论文。

攻击所优化的内容，以及它被允许看到的内容

这篇论文是黑盒大语言模型的边界点越狱，作者为Xander Davies、Giorgi Giglemiani、Edmund Lau、Eric Winsor、Geoffrey Irving和Yarin Gal——于2026年2月16日发布到arXiv，两天后修订，并由AISI在中间那天宣布。其贡献不是一个新的越狱字符串，而是一种在刻意极度受限的信息预算下寻找越狱字符串的搜索流程。

正如作者所描述的，早期的自动化攻击依赖白盒或灰盒访问权限：分类器分数、梯度，或某人已经编写好的越狱库。BPJ 假设攻击者除了 API 访问权限和每次查询仅一个比特（被标记或未被标记）之外一无所有。这个比特就是全部的目标信号，而该方法的每一个部分的存在，都是为了从中榨取排序信息。

• 被优化的对象是一个前缀。将一段长度受限的 token 序列拼接在有害目标之前，搜索通过每次替换、插入或删除一个 token 来对其进行变异。该前缀只优化一次，随后被应用于从未针对其调优过的问题；这种迁移正是“通用”一词所指的含义。

• 课程将单一困难目标转化为一架阶梯。有害字符串中的字符会被随机替换为噪声字符，难度由损坏比例参数化。在高损坏程度下，分类器看到的内容近乎垃圾，很容易通过；随着攻击取得成功，损坏程度会逐步降低，直到原始有害字符串未经修改也能通过。

• 边界点是排序的关键技巧。对于每个候选目标，该方法会采样含噪变体，只保留那些候选前缀群体自身意见不一致的——有些被标记，有些则没有。所有人都能解出、或所有人都解不出的目标，无法说明哪个前缀更好，因此会被丢弃。正是这一环节，使得每次查询只需一个比特就足够。

• 搜索本身就是一个精英式进化循环。选择一个父前缀，变异一个词元，根据子代解决了多少个当前边界点来为其打分，如果它胜过至少一个现有解，就保留它。

消融实验是最清晰的证据，表明边界点选择确实在起作用：BPJ 的收敛速度约为采用随机评估集的同一课程的五倍，而随机前缀的 best-of-N 基线在预算内从未收敛。作者还将该流程用于一个廉价的提示式 GPT-4.1-nano 分类器，在单个 HarmBench 问题上进行优化，并在五个问题上重复——每次运行约 25,000 到 30,000 次查询——结果发现所得前缀可迁移到完整的 HarmBench 集合，包括迁移到原始问题类别之外的主题。

两个目标，以及这些百分比实际衡量的是什么

前沿测试使用了 Claude Sonnet 4.5（claude-sonnet-4-5-20250929，截至 2025 年 11 月 27 日），其置于 Constitutional Classifiers 之后，并且 gpt-5 置于 OpenAI 的输入分类器之后（截至 2025 年 11 月 6–7 日）。在这两种情况下，作者都是通过产品发送查询，并检查响应返回的是拒绝还是标记，从而间接接触到分类器。

这种设置对解读这些数字很重要。“Score”并不是一个二元的分界；它是按问题通过评分标准计算出来的，该标准会检查答案中是否出现特定的技术细节，而报告的平均值排除了空输出。Max@50 是单个问题上五十次尝试中的最佳得分。因此，25.5% 的平均值并不意味着“四次攻击中成功了一次”——它是实际产出的答案的平均评分质量。

对照防御方自身的历史，这一结果依然十分严峻。Constitutional Classifiers 此前已在超过 300,000 次聊天交互中经受住逾 3,700 小时的人工红队测试，期间仅发现一次完全成功、由人工主导的通用越狱。Anthropic 告诉 AISI，BPJ 本会达到其漏洞赏金计划中所述的通用越狱标准。

GPT-5 输入分类器在相同攻击下的表现明显更差：平均成功率为 75.6%，五十次尝试中最佳为 94.3%；而 Constitutional Classifiers 分别为 25.5% 和 39.9%，在前缀之上叠加基础诱导提示后，则升至 68% 和 80.4%。

两家公司用自己的话表述了这一结果，AISI 的引述如下。Anthropic 证实，BPJ 是其已知的第一个在 Constitutional Classifiers 设置中取得成功的全自动黑盒攻击。OpenAI 证实，这是其已知的第一个在不依赖人工种子攻击的情况下成功突破其 GPT-5 输入分类器的自动化攻击。两项声明的范围均限于各自公司所知，且两家公司均未将其作为独立公告发布。

关键在于成本，而不是百分比

在大多数越狱论文中，25.5% 的平均值并不起眼。让这一记录成为档案中里程碑式条目的是能力与预算之间的比率：两百到三百美元，以及在两个目标上合计约一百五十万次查询，而这是一种可无人值守运行、无需人工介入的攻击。

在BPJ出现之前，基于分类器的防御背后的核心假设是：找到一个通用越狱需要持续的专业人工投入——3700小时这一数字是对该假设最清晰的表述。BPJ用一个搜索循环取代了红队，该循环读取单个布尔值并据此改进。防御在大多数时候仍然有效；但攻击它的经济账已经变了。

两家实验室都对最强解读提出了反驳，而AISI在文章中呈现了他们的反驳，而不是将其掩盖。Anthropic指出，BPJ需要数月的研究与开发工作，并且Constitutional Classifiers旨在抵御技能较低的行为者——这些人查询预算更小、投入攻击开发的时间更少，也难以落实该方法的具体细节。这是关于谁能复现BPJ的主张，而不是关于它是否有效。

为什么防御必须跨对话计数

AISI 那篇博文中最关键的一句话并不是某个成功率。而是这样一个观察：BPJ“在单次交互中难以防御，但在优化过程中会触发大量标记”，因此有效的防御需要以批级监控来补充单次交互方法。

这种不对称是结构性的，而非偶然的。逐对话分类器必须一次对一个输入做出判断，而一个被选定位于决策边界附近的前缀，正是为了让这一判断出现轻微偏差。批级监控关注的是另一个对象：流量。一次耗费 660,000 次查询的优化运行，在过程中必然会触发大量标记，而且即使没有任何单个对话足以坐实问题，这些标记也依然可见。

OpenAI 自己提交给 AISI 的评论是这一论点的实用版本。它指出，BPJ 的开发和执行是在不受封禁等执法行动约束的账户上进行的，而在标准账户上，反复被标记很可能导致账户被封禁——OpenAI 将此描述为正是 AISI 所建议的批次级监控的一个例子。本可发现此次攻击的控制措施不是更好的分类器，而是账户级的控制措施。

作者表示该攻击无法做到的事

BPJ 攻击的是输入分类器，而不是模型本身。在两种前沿设置中，作者都使用了一个由人工发现的简单越狱方法，绕过了主模型自身的拒答机制，因此所测得的分数描述的是分类器被攻破、而模型仍愿意作答时会发生什么。论文中没有任何内容表明 BPJ 能直接攻破模型的拒答训练。

• 它并不隐蔽。作者明确指出，BPJ 攻击会触发大量分类器标记，在现实条件下会导致封禁。

• 它非常消耗查询次数。已公布的运行分别消耗了 660,000 和 800,000 次查询。这对随意使用来说是一个实实在在的门槛，也会向任何关注流量的人发出一个明显的信号。

• 它假设了一个近乎确定性的分类器。作者明确没有考虑具有高度随机性分类器的设置。

• 该方法被部分保留。为限制扩散风险，论文对关键算法细节作了摘要性处理，既未公布攻击字符串，也未公布代码。这是一个站得住脚的选择，也正是该结果无法仅凭论文被独立复现的原因。

对此做了什么，以及哪些尚未确定

AISI表示，它在发表前与两家公司分享了结果，两家公司均与该研究所合作复现了该攻击，并且都已制定针对BPJ的缓解措施。论文指出，披露发生在发表前至少六周。该文章未提及这些缓解措施的任何技术细节，也未说明它们何时交付或如何验证。

这也正是本文所能确认的边界。记录中A的置信等级反映的是文档质量，而非对攻击的独立测试：原始文件有两份，且来自同一机构。Anthropic和OpenAI的确认是通过AISI的叙述进入记录的，而非通过本文能够直接阅读的文件。AISI之外的报道只是复述博客文章——来自It Does What Now?和Resultsense的行业报道重复了这些数字，未做独立测试——本文的检索也未发现主流媒体对该结果的原创报道。

记录中没有任何内容显示 BPJ 曾在测试之外被用于针对真实运行的系统，档案中也没有记录任何现实世界中的危害。该论文是 arXiv 预印本，并非经过同行评审的出版物。那些“首次”声明被提出它们的研究实验室谨慎限定了范围——“据他们所知是首次”——应当按这种含义理解，而不是当作绝对说法。

还有一个限制很容易被过度解读。攻击目标是2025年11月时现行的配置，而AISI的帖子没有提到比它所攻击的两种防御更新的任何防御。无论Constitutional Classifiers和OpenAI的输入过滤在针对BPJ的特定缓解措施之后是什么样子，这份记录都没有说明——博客和论文也都没有声称后来的防御仍然容易受到相同前缀的影响。

这一持久发现关乎把防御放在哪里。一次只判断一段对话的分类器，对于被允许进行数十万次尝试的攻击者来说形态不对，因为暴露它的正是攻击自身的搜索过程。AISI 建议关注批次而非单条消息，这源于攻击的机制，而且无论 BPJ 本身是否还会再次被使用，这一建议都成立。