Constitutional Classifiers++：在 1,736 小時紅隊測試中無通用越獄

Anthropic 於 2026 年 1 月 9 日的一篇研究文章中，以及 2026 年 1 月 8 日提交至 arXiv 的一篇由 29 位作者合著的論文中，發表了 Claude 的第二代越獄防禦機制——Constitutional Classifiers++。該設計在模型自身內部活化值上設置線性探針，並將其置於更重的分類器之前；該分類器會結合提示詞上下文審閱每一則回覆。Anthropic 報告指出，在 Claude Sonnet 4.5 流量上進行為期一個月的影子部署期間，系統拒答了 0.05% 的查詢；生產系統所用算力約為其對照的單次交換分類器的四十分之一；且 1,736 小時的人工紅隊測試未產生任何通用越獄。沒有任何損害，也未指控任何攻擊：這是對一項防禦措施的描述與測量，而非披露入侵事件。該檔案庫將此事件歸檔為治理紀錄，日期精確至日為 2026 年 1 月 30 日，信心等級為 A，且未記錄任何損害，並與其餘 AI 安全條目一同收錄於Orca AI Incident Archive。

檔案的日期不是出版日期

兩篇被引用的來源彼此一致——這是該檔案庫獲得 A 級評等的依據——但兩者都不是 2026 年 1 月 30 日的日期。研究文章〈Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks〉在其頁面中介資料中的發布時間戳為 2026 年 1 月 9 日。論文〈Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks〉於 2026 年 1 月 8 日 05:16 UTC 提交，且自那之後未在 arXiv 上修訂；該檔案庫引用的版本 2601.04603v1 是唯一版本。此處報導的 1 月 30 日日期，是該檔案庫自身以日為精度的歸檔日期，而非上述任一文件的日期。

這很重要，因為該檔案的一行摘要包含三個讀者很可能會複述的數字——40倍、0.05%、1,700多小時——而每一個數字所依據的基準，都與摘要措辭所暗示的不同。本文其餘部分要談的，就是這些基準究竟是什麼。

三項變更，疊加在一起

憲法分類器（Constitutional Classifiers）於 2025 年 2 月推出，是一對以合成資料訓練而成的過濾器，而這些合成資料是根據一份明文寫成的「憲法」所生成，內容列明允許與禁止的內容。第一代採用獨立的輸入分類器，以及僅針對輸出進行判斷的分類器；Anthropic 自家的文章指出，這套機制能將未受防護模型上的越獄成功率從 86% 降至 4.4%，亦即擋下約 95% 的攻擊，代價是額外增加 23.7% 的運算量，且對無害查詢的拒答率上升 0.38%。

論文開篇即展示這對組合如何被拆解。有兩類攻擊奏效。重構攻擊將有害請求分散到看似無害的片段中——論文示例把一個問題嵌入散布於程式碼庫各處的函式回傳值，再指示模型將其重新組裝——因此輸入過濾器從未看到完整請求。輸出混淆攻擊則讓模型以替換代碼或隱喻作答，使僅檢查輸出的分類器讀到看似平淡無害的內容；論文示例讓模型以「太陽之火」與「海洋之禮」的結合來描述製造鹽酸，而分類器始終不知道這道謎題解碼後是什麼。由於單憑輸出而無輸入便無法解讀，只讀取交流其中一側的過濾器便看不見危害。

接下來有三項變更，而論文會先分別評估每一項，再將它們合併。

• 交換式分類器。單一分類器會在輸入的脈絡下讀取模型輸出，於權杖生成時分批評分，並透過提示快取讓重播的成本變得可負擔。人工紅隊測試發現，相較於雙分類器設計，每次越獄嘗試所發現的高風險漏洞少了 2.2 倍——但運算成本約高出 50%，因為現在由 Haiku 大小的模型評估整段對話。

• 一種串聯式架構。輕量的第一階段分類器會篩選所有流量，只將被它標記的內容升級至成本高昂的第二階段。此設計利用的是架構本身的特性，而非模型的特性：由於被標記的交流內容會升級處理而非遭到拒絕，因此低成本階段可以容許較高的偽陽性率，這表示較弱且較便宜的模型就能執行該階段。Anthropic 設定第一階段的閾值，使其自家紅隊測試資料集中絕大多數範例都會被標記；並且，透過推論流程的變更與更新後的模型，回報相較於單次交流分類器，運算量降低了 5.4 倍。約 10% 的流量會進入第二階段，而第一階段約占總成本的 77%。

• 線性活化探針。 第三項變更重用了模型已經做過的運算。線性探針會在取樣 token 時讀取每一層的殘差流活化，因此其邊際成本接近零——論文指出，在 27B 模型上部署全層探針，每 token 約需 377K FLOPs，而 4B 模型單次前向傳遞約需 8B。有兩個訓練細節證明很重要：訓練期間在 16 個 token 的滑動視窗上平均 logits，讓單一虛假活化無法標記整個序列；以及 softmax 加權損失，對高信心的偽陽性懲罰遠大於高信心的真陰性。在約 7,000 組靜態紅隊交流上，最佳探針擊敗了超小型外部分類器，且幾乎匹敵 Haiku 4.5 分類器。與外部分類器集成後，表現優於兩者各自單獨使用，而論文解釋中有趣的部分是：探針錯誤與分類器錯誤的相關程度，低於兩個分類器錯誤彼此之間的相關程度，因此探針「似乎利用了與外部分類器所用訊號互補的訊號」。

生產系統，用它自己的數字來說

實際推出的方案結合了前兩者：對 Claude Sonnet 4.5 的活化值進行線性探針，在生成過程中篩檢每一次交流；當其分數超過閾值時，該次交流會送往由 Claude Haiku 4.5 微調而成的第二階段分類器。對於升級的交流，兩個分數會以 0.55 探針、0.45 分類器的比例混合。探針升級了大約 5.5% 的生產流量。

Anthropic 於 2025 年 12 月 1 日至 2026 年 1 月 1 日期間，在 Claude Sonnet 4.5 的正式流量上以影子部署方式對其進行了評估。標記率——即被拒絕的查詢所占比例——為 0.05%，而第一代工作所報告的比率為 0.38%。該公司在部落格文章中將此描述為相較於原始分類器下降了 87%，並另外表示，該系統「若套用於 Claude Opus 4.0 流量，會增加約 1% 的運算開銷」。

那兩句話裡藏著三個但書，而 Anthropic 並沒有隱藏其中任何一個——只是當數字四處流傳時，這些但書很容易被漏掉。

首先，拒答比較是對照 0.38%，那是第一代所公布的数字。該論文自己的表 1 列出 Anthropic 重新實作上一代系統的生產環境拒答率為 0.073%，是在部署後第一週測量。兩個數字都來自 Anthropic；它們衡量不同的事物——一個是無害查詢的拒答增加量，另一個是生產查詢遭拒答的比例——而 87% 的說法是從兩者中較大的數字計算出來的。

第二，已部署系統的拒絕率並非論文中最低的。表 1 顯示，單次交換分類器為 0.038%，未使用探針的兩階段串聯為 0.036%；而生產系統為 0.050%。它在運算量和穩健性上勝出，而非在拒絕率上，它自己的表格也這麼說。

第三，1% 的運算數字與 40 倍的數字並非同一種測量。40 倍是相對於論文第三節的單一輪次分類器——該系統本身比前一代貴約 50%。論文表 1 以 100.0 為基準，將所有數值換算到上一代系統，其中該輪次分類器為 150.0，兩階段串聯為 27.8，生產系統為 3.5。若對照前一代而非對照中間設計來解讀，該表意味著約二十九倍的縮減。部落格的 ~1% 又是第三種基準：這是在 Claude Opus 4.0 流量上測得的絕對額外開銷數字，與第一代的 23.7% 並列。

1,736 小時的紅隊演練確立了什麼

穩健性主張建立在一個特定定義上，而論證的關鍵就在這個定義裡。Anthropic 的紅隊成員被要求設計策略，以提取八個固定 CBRN 目標問題的詳細答案。若 LLM 評分標準給出的分數達到「無防護模型答案」細節程度的一半以上，該回應就算有害；而「高風險漏洞」是指在八個問題中成功超過五個的攻擊。在此文獻中，通用越獄是一種能在大多數目標問題上奏效的策略——這種策略能讓人把配方交給陌生人，而不是僥倖得到一個答案。

生產系統在約 198,000 次嘗試中，估計累計進行了 1,736 小時的紅隊演練，這些時數是根據 API 日誌以五分鐘區間估算而來。共發現一個高風險漏洞，發現率為每千次查詢 0.005，且耗費 30 小時才找到——這是論文中所有系統裡最長的最短發現時間。沒有任何攻擊能在僅達未防禦模型一半細節的情況下，回答全部八個目標問題。比較列則是論文自身上一代的重新實作：在 695,000 次查詢中發現 13 個高風險漏洞，比率為每千次 0.01871，其中包括四個能以一半細節回答每個目標問題的越獄攻擊，平均耗費 27 小時發現。

這項結果有兩項限制值得直言。第一項出現在論文自身的註腳中，附在描述探測系統之前兩階段串聯流程的那一節：「在我們的賞金計畫之外運作的專家級紅隊人員，仍能為此系統發現通用越獄方法，儘管這需要大量投入與自動化工具。」最終的正式生產系統並非該註腳的主題，但這則註記確立了 Anthropic 的賞金門檻並非堅定攻擊者能力上限。第二項是 Anthropic 自己在部落格文章中的結論：「目前市場上沒有任何 AI 系統擁有完美穩健的防禦。」獨立研究組織 Montana Research Foundation 於 2026 年 1 月 21 日分析該發布內容時，更尖銳地提出同一點——八題門檻是「由防禦方選定的門檻」，而 Anthropic 自己指出的兩類攻擊「只是削減它，而非清除它」。

還有什麼能通過

Anthropic 指出兩類殘餘攻擊類別，且並未聲稱已將其封堵。重建攻擊（將請求拆散分散於上下文中）與輸出混淆（以委婉語、隱喻或程式碼掩飾答案），正是攻破第一代防禦的相同技術；對話分類器讓它們更難，但並非不可能。論文也記錄了發動攻擊本身的代價：在 GPQA Diamond 上，Claude Opus 4 未經修改時得分 74.2%，在一種碎片化攻擊下為 32.3%，在另一種攻擊下為 49%。作者稱這種變異性「令人擔憂」，理由是，投入心力研究此問題的對手，很可能能找到既能保留模型更多能力、又能成功穿透的攻擊。

後續研究認真看待了這兩個切入點，而且它在某種意義上獨立於 Anthropic，而該發布本身並非如此。

• 邊界點越獄，由 UK AI Security Institute 與牛津大學 OATML 的研究人員於 2026 年 2 月 16 日提交至 arXiv，描述了一種完全黑箱的自動化攻擊，每次查詢只需一個位元——是否被標記——並稱其為「首個能成功開發出針對 Constitutional Classifiers 的通用越獄的全自動化攻擊演算法」。其目標是截至 2025 年 11 月 27 日守護 Claude Sonnet 4.5 的分類器；論文將此歸因於 2025 年的第一代工作，而非探針級聯；論文也轉述了 Anthropic 的初步發現：基於探針的分類器「可能比基於文字的分類器更能抵抗此類攻擊」，且以攻擊字串進行訓練可改善偵測。

• Trojan-Speak由 Anthropic Fellows Program 與 Virginia Tech 的作者於 2026 年 3 月 30 日提交，從另一個方向發動攻擊：對抗性微調教會模型一種分類器無法讀懂的編碼，在漏洞賞金題集的 CBRN 問題上，對 14B 參數及以上的模型回報超過 99% 的分類器規避率，且能力損失低於 5%。它指出，探針優先級聯仍讓「LLM 分類器」做出最終攔截決定，並發現活化探針能大幅提升對編碼攻擊的穩健性。

兩篇論文都沒有質疑 Anthropic 為自身部署所公布的數字。兩篇都把這個級聯視為要超越的目標。這比該發布在其他地方受到的審視更多：搜尋發布期間的新聞索引，並未發現主流媒體對 1 月 9 日那篇文章的報導；而除了這兩篇論文之外，本文找到的唯一獨立分析，是 Montana Research Foundation 於 2026 年 1 月 21 日發表的那份。

為什麼檔案館將這件事歸類為治理？

這筆記錄的類別是政策，類型標籤為 GOV，嚴重程度為 info；對一篇關於分類器架構的論文而言，這讀起來很奇怪，直到你查看實際記錄的內容。這裡沒有受害者、沒有披露期限，也沒有受影響人群，除了查詢會被該過濾器評分的人。這些文件所包含的，是一家供應商發布架構、部署量測與紅隊測試協議，細節足以讓其他人核對計算——並且在致謝中點名曾對較早版本進行紅隊測試的外部組織：UK AISI、US CAISI 和 FAR.AI，而 HackerOne 則實際運作賞金計畫。

治理層面的關鍵在於成本曲線。一項防護措施若會讓每次查詢的價格增加四分之一，產品團隊就會爭論是否該把它關掉；蒙大拿的分析正是提出這一點，寫道在 23.7% 時，安全團隊必須證明開啟它是合理的，而在大約 1% 時，「產品團隊必須證明關閉它是合理的」。這個數字在 Anthropic 自家技術堆疊之外是否成立，才是當前關鍵問題，而同一份分析也提出了檢驗方式：探針讀取的是活化值，活化值因模型而異，而「如果它們並非如此，那就是 Anthropic 的結果」。

這份紀錄不包含任何證據顯示該系統在正式環境中失效。在兩份引用的文件中，都沒有出現任何事故、任何繞過機制的情況，也沒有任何使用者受到傷害，而檔案庫將實際傷害記錄為零。資料來源並未解釋1月30日的申報日期；文件所描述的工作日期為2026年1月8日與9日。