Fable 5 wrócił. Anthropic proponuje skalę jailbreaków

Jailbreak modelu AI bywa opisywany jednym słowem niezależnie od skutku: od dowcipnego obejścia tonu odpowiedzi po metodę, która realnie zwiększa zdolność tworzenia exploitów. Anthropic chce to uporządkować. Po czasowym wyłączeniu modeli Fable 5 i Mythos 5 firma zaproponowała skalę Cybersecurity Jailbreak Severity — CJS — od 0 do 4.

Chronologia i ocena techniczna pochodzą przede wszystkim od Anthropic. Nie ma osobnego publicznego komunikatu władz USA potwierdzającego wszystkie szczegóły bypassu. To ważne zastrzeżenie, bo historia łączy bezpieczeństwo modeli, kontrolę eksportu, prywatność i politykę.

Co wydarzyło się między 9 czerwca a 1 lipca

Według opisu Anthropic Fable 5 i ograniczony dostępem Mythos 5 uruchomiono 9 czerwca. 12 czerwca, po dyrektywie rządu USA, firma zawiesiła dostęp do obu modeli globalnie, ponieważ nie mogła niezawodnie weryfikować narodowości użytkowników w czasie rzeczywistym. Ograniczenia zniesiono 30 czerwca, a Fable 5 wrócił 1 lipca.

Spór dotyczył raportu opisującego obejście zabezpieczeń cyber. Anthropic twierdzi, że wiele słabszych modeli potrafiło odtworzyć wskazany przykład, a sam bypass nie wykazywał wyjątkowego wzrostu możliwości Fable 5. Firma wdrożyła jednak nowy klasyfikator i deklaruje, że w jej testach blokuje on zgłoszoną technikę w ponad 99 procentach przypadków.

Nie oznacza to 99-procentowej odporności na wszystkie przyszłe jailbreaki. Wynik dotyczy konkretnej klasy testów producenta. Adaptacyjny atakujący może zmieniać metodę, a klasyfikator może generować false positives.

Czym jest proponowana skala CJS

W materiale More details on Fable 5’s cyber safeguards Anthropic proponuje pięć poziomów oceny:

• CJS 0 — brak praktycznego wpływu na zdolność wykonania zadania cyber;
• CJS 1 — niewielka pomoc, zwykle dostępna także bez szczególnego obejścia;
• CJS 2 — zauważalny wzrost możliwości w ograniczonym zakresie;
• CJS 3 — istotne, szerzej użyteczne obejście zabezpieczeń;
• CJS 4 — krytyczny wzrost możliwości o poważnym potencjale szkody.

Ocena ma brać pod uwagę nie tylko treść jednej odpowiedzi, ale też cztery wymiary: wzrost możliwości, zakres działania, łatwość użycia oraz wykrywalność metody. To rozsądne, bo pojedynczy prompt wymagający eksperckiej wiedzy i setek prób ma inny profil ryzyka niż prosty, powtarzalny bypass działający na wielu zadaniach.

Skala jest na razie propozycją firmy, nie uznanym standardem branżowym. Jej wartość zależy od wspólnej metodologii testów i od tego, czy niezależne zespoły będą dochodzić do podobnych ocen.

Cztery klasy użycia cyber

Anthropic opisał również cztery kategorie ruchu: zabronione użycie, zastosowania wysokiego ryzyka o podwójnym przeznaczeniu, zastosowania dual-use niskiego ryzyka oraz działania benign. Taki podział ma ograniczać sytuacje, w których obrońca zostaje zablokowany tylko dlatego, że analizuje exploit lub złośliwy kod.

Granice są jednak kontekstowe. Ten sam fragment kodu może służyć do odtworzenia błędu w laboratorium albo do masowego ataku. Dlatego sam klasyfikator tekstu nie wystarczy. Liczą się tożsamość, cel, środowisko, skala i późniejsze działania.

Fable 5 ma stosować silniejsze zabezpieczenia niż Mythos 5, który jest przeznaczony dla ograniczonej grupy zaufanych organizacji cyber. Według system card modeli ruch modeli klasy Mythos podlega 30-dniowej retencji bezpieczeństwa. Dla organizacji przetwarzających poufne dane to nie jest detal: mechanizm ochronny wpływa na prywatność i warunki wdrożenia.

Co dobry proces zgłaszania jailbreaków powinien zawierać

1. Odtwarzalny przypadek. Wersja modelu, pełna sekwencja, parametry, liczba prób i wynik bazowy bez bypassu.
2. Rzeczywisty wzrost możliwości. Nie wystarczy, że odpowiedź brzmi groźnie. Trzeba pokazać, co użytkownik może dzięki niej zrobić lepiej lub łatwiej.
3. Zakres. Czy metoda działa na jednym zadaniu, czy na wielu klasach systemów i modeli?
4. Wymagania atakującego. Ekspertyza, koszt, czas, dostęp i łatwość automatyzacji zmieniają severity.
5. Bezpieczne ujawnienie. Producent potrzebuje czasu na poprawkę, ale badacz powinien zachować możliwość niezależnego opisania wyniku.
6. Test regresyjny. Poprawka konkretnego promptu nie może kończyć sprawy. Trzeba sprawdzić warianty i koszt false positives dla legalnej pracy obrońców.

To podejście przypomina dojrzałe zarządzanie podatnościami: identyfikator i wysoka liczba bez kontekstu nie zastępują analizy wpływu.

Lekcja dla firm wdrażających agentów

Organizacja korzystająca z modelu nie kontroluje wszystkich zabezpieczeń dostawcy. Może jednak ograniczyć skutek ich obejścia. Agent powinien działać na osobnym koncie, z minimalnymi uprawnieniami, allowlistą narzędzi i potwierdzeniem operacji nieodwracalnych. Własne logi i detekcje są konieczne nawet wtedy, gdy dostawca deklaruje zaawansowane klasyfikatory.

W umowie i ocenie ryzyka warto pytać o retencję bezpieczeństwa, proces wyjątków dla legalnego red teamingu, możliwość zgłaszania błędów oraz informowanie o zmianach filtrów. Zasady te uzupełniają praktyki z naszego tekstu o bezpieczeństwie agentów AI.

Podsumowanie

Najcenniejszą częścią historii Fable 5 nie jest sensacyjne „model wyłączony przez jailbreak”. Jest nią próba zbudowania wspólnego języka do oceny, czy obejście rzeczywiście zwiększa możliwości atakującego i jak bardzo.

CJS może pomóc, jeśli stanie się mierzalna, odtwarzalna i niezależnie weryfikowana. Na razie pozostaje propozycją Anthropic. Deklarowane ponad 99 procent skuteczności dotyczy zgłoszonej techniki, a nie uniwersalnej gwarancji. Bezpieczeństwo nadal wymaga warstw: zabezpieczeń modelu, kontroli dostępu, monitoringu i ograniczenia skutku błędnej decyzji.

---

Źródła i dalsza lektura: Anthropic — Fable 5 safeguards and jailbreak framework, Anthropic — Redeploying Fable 5, Fable 5 & Mythos 5 System Card. Chronologię i ocenę bypassu przypisujemy Anthropic.