邊界點越獄：AISI 如何用每筆查詢一個位元攻破兩個前沿 AI 過濾器

2026 年 2 月 17 日，英國 AI 安全研究所發表了 Boundary Point Jailbreaking，這是一種自動化方法，在僅被告知每次查詢是否被阻擋的情況下，學會繞過兩套已部署的最強 AI 防禦。它會優化置於有害請求之前的對抗性前綴，並使用由較不混淆的目標組成的課程，以及在分類器決策邊緣上搜尋「邊界點」。面對 Anthropic 用於守護 Claude Sonnet 4.5 的 Constitutional Classifiers，它將未見過的生物誤用問題之平均評分規準分數從 0% 提高到 25.5%，代價約為 330 美元與 660,000 次查詢。面對 OpenAI 為 GPT-5 設置的輸入分類器，它以約 210 美元達到 75.6%。沒有系統遭到入侵，也沒有人受到傷害：AI Incident Archive 將其歸檔為中等嚴重性、信心等級 A、且未附帶爭議的研究記錄。該記錄本身、其引用清單，以及圍繞它歸檔的研究條目，均收錄於 Orca AI Incident Archive，該檔案直接連結 AISI 的文章與 arXiv 論文。

攻擊所最佳化的是什麼，以及它被允許看到什麼

這篇論文是黑箱大型語言模型的邊界點越獄，作者為 Xander Davies、Giorgi Giglemiani、Edmund Lau、Eric Winsor、Geoffrey Irving 與 Yarin Gal——於 2026 年 2 月 16 日發布到 arXiv，兩天後修訂，並由 AISI 在介於兩者之間的那天宣布。其貢獻不是新的越獄字串，而是一種在刻意極度受限的資訊預算下尋找越獄字串的搜尋程序。

早期的自動化攻擊，如作者所描述，仰賴白箱或灰箱存取權限：分類器分數、梯度，或某人早已寫好的越獄手法庫。BPJ 假設攻擊者除了 API 存取權限之外一無所有，且每次查詢只得到一個位元——被標記或未被標記。那個位元就是全部的客觀訊號，而這套方法的每一個部分，都是為了從中榨取出排序資訊而存在。

• 被最佳化的對象是一個前綴。一段長度受限的詞元序列會被串接在有害目標之前，而搜尋會透過一次替換、插入或刪除一個詞元來使其變異。該前綴只被最佳化一次，隨後便套用到它從未針對其調校過的問題上；這種遷移正是「通用」一詞所指的意思。

• 課程將一個艱難目標轉化為階梯。有害字串中的字元會被隨機替換為雜訊字元，而難度則以損壞比例作為參數。損壞程度高時，分類器看到的是近乎垃圾的內容，因此容易通過；隨著攻擊成功，損壞程度會逐步降低，直到原始有害字串未經修改也能通過。

• 邊界點是排序的關鍵技巧。對於每個候選目標，該方法會取樣帶噪聲的變體，只保留那些候選前綴群體自身意見分歧的——有些被標記，有些沒有。所有人都能解出、或所有人都解不出的目標，對於哪個前綴更好毫無說明，因此被捨棄。正是這一環節，讓每次查詢一個位元就足夠。

• 搜尋本身是一個菁英式的演化迴圈。挑選一個父前綴，突變一個 token，依子代能解出多少個目前邊界點來評分，若它勝過至少一個現有候選，就保留它。

消融實驗是最清楚的證據，證明邊界點選擇確實發揮作用：BPJ 的收斂速度約為相同課程搭配隨機評估集的五倍，而以隨機前綴構成的 best-of-N 基線在預算內始終未能收斂。作者也將這套流程套用到一個成本低廉、以提示驅動的 GPT-4.1-nano 分類器上，在單一 HarmBench 問題上進行優化，並在五個問題上重複實驗——每次約執行 25,000 至 30,000 次查詢——結果發現所得到的前綴可遷移至完整的 HarmBench 集合，包括原始問題類別之外的主題。

這兩個目標，以及這些百分比實際上衡量的是什麼

前沿測試使用的是 Claude Sonnet 4.5（claude-sonnet-4-5-20250929，截至 2025 年 11 月 27 日），其背後是 Constitutional Classifiers；以及 gpt-5，其背後是 OpenAI 的輸入分類器（截至 2025 年 11 月 6–7 日）。在這兩種情況下，作者都是間接接觸到分類器的：他們透過產品送出查詢，並檢查回應是否以拒絕或標記的形式返回。

這個設定對於解讀這些數字很重要。「Score」不是二元切分；它是針對每個問題，由評分規則計算，該規則檢查答案中是否出現特定技術細節，而回報的平均值會排除空輸出。Max@50 是在單一問題上五十次嘗試中的最佳分數。因此，25.5% 的平均值並不是「四次攻擊中成功一次」——它是所有實際產生之答案的平均評分品質。

對照防禦方自身的歷史紀錄，這個結果依然鮮明。Constitutional Classifiers 先前曾在超過 300,000 次聊天互動中，承受逾 3,700 小時的人類紅隊測試，期間只發現一個完全成功、由人類主導的通用越獄。Anthropic 告訴 AISI，BPJ 本應達到其漏洞賞金計畫中所描述的通用越獄標準。

GPT-5 輸入分類器在相同攻擊下的防禦表現明顯較差：平均為 75.6%，五十次中最佳為 94.3%；相較之下，Constitutional Classifiers 為 25.5% 與 39.9%，而在前綴之上套用基本誘導提示後，則升至 68% 與 80.4%。

兩家公司都以自己的話表述了結果，正如 AISI 所引述的那樣。Anthropic 驗證了 BPJ 是其所知第一個在 Constitutional Classifiers 設定中成功的全自動黑箱攻擊。OpenAI 驗證了這是其所知第一個在無需依賴人工種子攻擊的情況下，成功對抗其 GPT-5 輸入分類器的自動化攻擊。這兩項聲明都僅限於各自公司所知範圍，且兩家公司均未將其作為獨立公告發布。

成本才是重點，不是百分比

25.5% 的平均值在大多數越獄論文中並不稀奇。讓這項紀錄成為檔案庫中里程碑式條目的，是能力與預算之間的比例：兩百到三百美元，以及在兩個目標上總共約一百五十萬次查詢，換來一場可無人值守運行、無需人工介入的攻擊。

在 BPJ 之前，基於分類器的防禦背後的運作假設是：找到通用越獄需要持續的專業人工投入——3,700 小時這個數字是該假設最清楚的表述。BPJ 以一個讀取單一布林值並據此改進的搜尋迴圈取代了紅隊。防禦大多數時候仍然有效；攻擊它的經濟學已經改變。

兩個實驗室都對最強的解讀提出反駁，而 AISI 在文章中呈現了他們的反駁，而非將其掩蓋。Anthropic 指出，BPJ 需要數月的研發工作，而 Constitutional Classifiers 旨在抵禦技能較低的行為者——這些人可用的查詢預算較小、投入攻擊開發的時間較少，且難以實作該方法的細節。這是關於誰能重現 BPJ 的主張，而非關於它是否有效。

為什麼防禦必須跨對話計數

AISI 貼文中最具影響力的一句話並不是成功率，而是這項觀察：BPJ「在個別互動中難以防禦，但在最佳化過程中會觸發許多警示」，因此有效的防禦必須以批次層級的監控來補足單一互動的方法。

這種不對稱是結構性的，而非偶然的。逐對話分類器必須一次對一個輸入做出判斷，而一個被選來落在決策邊界附近的前綴，正是特意挑選來讓該判斷略微出錯的。批次層級監控著眼於不同的對象：流量。一次耗費 660,000 次查詢的優化執行，沿途必然會觸發大量警示旗標，而即使沒有任何單一對話足以定罪，這些旗標仍然可見。

OpenAI 自己給 AISI 的意見，就是這個論點的實務版本。它指出，BPJ 的開發與執行是在不受諸如封禁等執法行動約束的帳號上進行，而在標準帳號上，反覆被標記很可能導致帳號被封禁——OpenAI 稱這正是 AISI 所建議的批次層級監控的一個例子。原本能攔截這起攻擊的控制措施，不是更好的分類器，而是帳號層級的控制措施。

作者表示該攻擊無法做到的事

BPJ 攻擊的是輸入分類器，而非模型本身。在兩種前沿設定中，作者都使用了一個由人類發現的簡單越獄手法，來繞過主模型自身的拒答機制，因此所測得的分数描述的是分類器已被擊敗、而模型仍願意回答時所發生的情況。論文中沒有任何内容顯示 BPJ 能直接擊敗模型的拒答訓練。

• 它並不隱蔽。作者明確指出，BPJ 攻擊會觸發大量分類器標記，在現實條件下將導致被封禁。

• 它非常耗查詢次數。已公開的執行分別耗費 660,000 與 800,000 次查詢。這對隨意使用而言是實質障礙，對任何觀察流量的人來說也是一個明顯的訊號。

• 它假設分類器近乎確定性。作者明確不考慮分類器具有高度隨機性的設定。

• 該方法有部分內容被保留而未公開。 為降低擴散風險，論文摘要省略了重要的演算法細節，且既未釋出攻擊字串，也未釋出程式碼。這是個站得住腳的選擇，也正是為何單憑這篇發表無法獨立重現該結果的原因。

對此做了什麼，以及哪些事尚未確立

AISI 表示，它在發表前已與兩家公司分享結果，兩家公司都與該研究所合作重現了這項攻擊，且雙方都已制定針對 BPJ 的緩解措施。論文指出，揭露發生在發表前至少六週。該貼文未提及這些緩解措施的任何技術細節，也未說明它們何時推出或如何驗證。

那也是這篇報導所能確認的界線。該紀錄的置信等級 A 反映的是文件品質，而非對這次攻擊的獨立測試：主要文件只有兩份，且來自同一個組織。Anthropic 與 OpenAI 的確認是透過 AISI 的說法才進入該紀錄，而非透過本文能直接閱讀的文件。AISI 以外的報導只是重述那篇部落格文章——《It Does What Now?》與《Resultsense》的業界報導重複了那些數字，並未進行獨立測試——而本文的搜尋也未發現主流媒體對該結果有任何原創報導。

紀錄中沒有任何內容顯示 BPJ 曾在測試之外被用於實際運作中的系統，而檔案中也沒有記錄任何現實世界的傷害。該論文是 arXiv 預印本，並非同儕審查出版物。那些「首個」主張被提出它們的實驗室謹慎限定範圍——「他們所知的首個」——應如此理解，而非視為絕對。

還有一項限制很容易被過度解讀。攻擊目標是 2025 年 11 月當時的配置，而 AISI 的貼文並未點名任何比它所攻擊的兩種防禦更新的防禦。無論 Constitutional Classifiers 和 OpenAI 的輸入過濾在針對 BPJ 的特定緩解措施之後變成什麼樣子，這份記錄都沒有說明——而且部落格文章和論文也都沒有聲稱後來的防禦仍會受到相同前綴的影響。

這項持久性的發現，關鍵在於防禦該放在哪裡。一次只判斷一段對話的分類器，對一個能獲准數十萬次嘗試的攻擊者來說，形狀就是不對的，因為攻擊本身的搜尋過程正是讓它露餡的原因。AISI 建議要盯的是整批，而不是單一訊息，這點是從攻擊的機制推導出來的，而且無論 BPJ 本身日後是否還會被使用，這個結論都成立。