कैसे एक रिसर्चर ने Anthropic के सबसे सुरक्षित AI को 24 घंटों के भीतर 'पैक हंट' अटैक से ध्वस्त कर दिया

10 जून को, छद्म नाम वाले रेड-टीमर प्लिनी द लिबरेटर (Pliny the Liberator) ने घोषणा की कि उसने Fable 5 के सुरक्षा क्लासिफायर को बायपास कर लिया है, उसका 120,000 अक्षरों का सिस्टम प्रॉम्प्ट निकाल लिया है (जिसे उसने GitHub पर प्रकाशित किया), और शोषण-विकास कोड, साइबर हमले के चरण, और प्रतिबंधित रसायन विज्ञान मार्गदर्शन प्राप्त कर लिया है । लॉन्च के 24 से 48 घंटों के भीतर ही इस सेंधमारी की रफ्तार ने इसे उस बहस में एक निर्णायक मोड़ बना दिया कि क्या मौजूदा सुरक्षा तरीकों से फ्रंटियर AI को प्रभावी ढंग से नियंत्रित किया जा सकता है।

"पैक हंट" अटैक: जेलब्रेक ने कैसे काम किया

प्लिनी ने अपने दृष्टिकोण को "पैक हंट" (झुंड में शिकार) के रूप में वर्णित किया—एक समन्वित मल्टी-एजेंट तकनीक, न कि कोई एक चतुर प्रॉम्प्ट । इस हमले में कई विरोधी रणनीतियां शामिल थीं, जिनमें से प्रत्येक ने संचयी सेंधमारी में अपना योगदान दिया:

• मल्टी-एजेंट ऑर्केस्ट्रेशन: प्लिनी ने पहले से जेलब्रेक किए गए Claude Opus 4.8 इंस्टेंस को हमलावर एजेंट के रूप में इस्तेमाल किया। खुद कोई प्रॉम्प्ट तैयार करने के बजाय, उसने एक मॉडल को दूसरे मॉडल की व्यवस्थित रूप से जांच करने और उसका शोषण करने के लिए सेट कर दिया । यह उसकी पुरानी तकनीक की ही तरह है: एक स्वायत्त Opus 4.7 एजेंट ने कुछ हफ्ते पहले ही Opus 4.8 को उसके लॉन्च के सात मिनट के भीतर क्रैक कर दिया था ।
• यूनिकोड और होमोग्लिफ ऑब्फसकेशन: इनपुट क्लासिफायर को चकमा देने के लिए, खतरनाक स्ट्रिंग्स को देखने में एक जैसे लगने वाले यूनिकोड कैरेक्टर्स का उपयोग करके निर्देशों को एन्कोड किया गया, जिन्हें पकड़ने के लिए Anthropic ने अपने सिस्टम को प्रशिक्षित किया था ।
• लॉन्ग-कॉन्टेक्स्ट मैनिपुलेशन और कथा-आवरण (Narrative Framing): हानिकारक अनुरोधों को विस्तृत भूमिका निर्वाह (रोलप्ले) परिदृश्यों, पाठ्यपुस्तक जैसे अध्यायों, या सुकराती संवादों के भीतर दबा दिया गया। इस "कथा-आवरण" ने पूरे अनुरोध की हानिकारक प्रकृति को इतने लंबे समय तक छिपाए रखा कि मॉडल एक विश्वसनीय संदर्भ में इसे प्रोसेस करना शुरू कर सके ।
• हानिकारक अनुरोधों का विघटन (Decomposition): "स्टैक बफर ओवरफ्लो एक्सप्लॉइट लिखो" जैसे कार्य को अलग-अलग, हानिरहित उप-चरणों में तोड़ दिया गया—जिनमें से प्रत्येक सुरक्षा प्रणालियों को हानिरहित लगता था—जिन्हें मॉडल तब तक क्रमिक रूप से संसाधित करता रहा जब तक दुर्भावनापूर्ण इरादा स्पष्ट नहीं हो गया । प्लिनी के अनुसार, विघटन और पुनर्संयोजन विशेष रूप से प्रभावी साबित हुआ क्योंकि अलग-थलग रूप से प्रत्येक प्रॉम्प्ट निर्दोष प्रतीत होता था ।
• आर्टिफैक्ट रेंडर के अंदर वृद्धिशील वृद्धि: प्लिनी ने सार्वजनिक रूप से नोट किया है कि आर्टिफैक्ट-रेंडर संदर्भ में जाने से कोड स्कैफोल्डिंग से महत्वपूर्ण टोकन शोर उत्पन्न होता है, जो सुरक्षा ट्रिगर्स को छुपा सकता है। इस शोर वाले माहौल में आने के बाद, वह कई चरणों में, सुकराती शैली में अनुरोध की गंभीरता को धीरे-धीरे बढ़ा सकता था ।

इसका नतीजा एक ऐसी सेंध थी जिसने काम करने वाला एक्सप्लॉइट कोड, विस्तृत रसायन संश्लेषण निर्देश, और वह पूरा सिस्टम प्रॉम्प्ट तैयार कर दिया जिसके इर्द-गिर्द Anthropic ने Fable 5 को डिजाइन किया था ।

Anthropic के लॉन्च-पूर्व सुरक्षा दावे, कटघरे में

Fable 5 के रिलीज से पहले, Anthropic ने एक असामान्य रूप से विस्तृत सार्वजनिक सुरक्षा रुख पेश किया था:

• रेड-टीम प्रमाणन: कंपनी ने बताया कि उसके बाहरी बग बाउंटी प्रोग्राम ने 1,000 घंटों से अधिक के परीक्षण में शून्य सार्वभौमिक जेलब्रेक उत्पन्न किए, और बाहरी रेड-टीमिंग संगठन भी एक भी खोजने में विफल रहे ।
• क्लासिफायर आर्किटेक्चर: Fable 5 ने चार क्षेत्रों: साइबर सुरक्षा, जीव विज्ञान, रसायन विज्ञान और मॉडल डिस्टिलेशन में उच्च-जोखिम वाली क्वेरी का पता लगाने और उन्हें रोकने के लिए प्रशिक्षित अलग-अलग AI क्लासिफायर का उपयोग किया। ट्रिगर होने पर, सिस्टम ने अनुरोध को सिरे से अस्वीकार नहीं किया, बल्कि इसे एक कम सक्षम मॉडल, Claude Opus 4.8, पर पुनर्निर्देशित कर दिया । कंपनी ने नोट किया कि ये सुरक्षा उपाय औसतन 5% से भी कम उपयोगकर्ता सत्रों में सक्रिय हुए ।
• बेंचमार्क साक्ष्य: थिंकिंग सक्षम होने के साथ ग्रे स्वान/यूके AISI एजेंट रेड-टीमिंग बेंचमार्क पर, Fable 5 ने k=100 पर 4.8% अटैक-सक्सेस रेट हासिल किया, जबकि Opus 4.8 के लिए 9.6%, GPT-5.5 के लिए 30.8%, और Gemini 3.1 Pro के लिए 45.5% था । k=1 पर, सफलता दर मात्र 0.1% थी ।

तेजी से हुए जेलब्रेक ने इन आंकड़ों को सीधे कमजोर कर दिया। एक हजार घंटे से अधिक के विरोधी परीक्षण द्वारा प्रमाणित एक सुरक्षा प्रणाली को एक ही शोधकर्ता ने एक दिन के भीतर बायपास कर दिया—ऐसी तकनीकों का उपयोग करके जो किसी नई सॉफ्टवेयर भेद्यता पर नहीं, बल्कि सोशल-इंजीनियरिंग-शैली की प्रॉम्प्टिंग रणनीतियों पर निर्भर थीं, जिन्हें क्लासिफायर प्रशिक्षण स्पष्ट रूप से पकड़ने में चूक गया था ।

तेजी से जेलब्रेक का एक सिलसिला

Fable 5 की घटना कोई अकेली घटना नहीं है। यह उसी रेड-टीमर द्वारा एक सुनियोजित पैटर्न को जारी रखती है:

• Claude Opus 4.8 (मई 2026): मॉडल के आधिकारिक लॉन्च के 7 मिनट के भीतर, प्लिनी को पहले से तैनात Opus 4.7 एजेंट से एक स्वचालित अलर्ट मिला, जिसने बताया कि उसने नए मॉडल को "एक ही बार में" क्रैक कर लिया है। इस तकनीक में एक गहरी प्रीफिल शामिल थी जो एक अधूरे पाठ्यपुस्तक अध्याय के रूप में प्रच्छन्न थी—मॉडल ने बस पाठ को पूरा किया, जिससे विशिंग स्क्रिप्ट, मनी-लॉन्ड्रिंग के चरण और फ़िशिंग ल्योर लाइब्रेरी सहित हजारों टोकन का हानिकारक आउटपुट तैयार हो गया ।
• GPT-OSS मॉडल (अगस्त 2025): प्लिनी ने OpenAI के पहले ओपन-वेट मॉडल को उनके लॉन्च के कुछ ही घंटों के भीतर बायपास कर दिया, मेथामफेटामाइन उत्पादन और VX नर्व एजेंट संश्लेषण के निर्देश निकाल लिए ।
• Claude Opus 4.7 (अप्रैल 2026): 20 मिनट से भी कम समय में एक सेल्फ-जेलब्रेक का प्रदर्शन किया गया, जिसमें एक Opus 4.7 एजेंट ने अपने खिलाफ ही एक सार्वभौमिक जेलब्रेक विकसित कर लिया ।

इस पैटर्न के पीछे कार्यप्रणाली में एक बदलाव है जिसे खुद प्लिनी ने "मॉडल द्वारा मॉडल को जेलब्रेक करना" बताया है । हाथ से एकल-शॉट जादुई प्रॉम्प्ट तैयार करने के बजाय, हमलावर एक पहले से टूटे हुए मॉडल को एक नए लक्ष्य के खिलाफ एक स्वायत्त एजेंट के रूप में छोड़ देता है। यह एजेंटिक, मल्टी-टर्न, विघटन-आधारित दृष्टिकोण क्लासिफायर-आधारित सुरक्षा प्रणालियों के लिए उन स्थिर प्रॉम्प्ट हमलों की तुलना में पता लगाना कहीं अधिक कठिन साबित हुआ है जिन्हें पकड़ने के लिए उन प्रणालियों को बड़े पैमाने पर प्रशिक्षित किया गया था।

व्यापक शोध समुदाय ने भी इसी तरह के विकास को देखा है। सुरक्षा फर्म रेपेलो (Repello) ने 2026 में जेलब्रेक रुझानों का विश्लेषण करते हुए कहा कि सबसे अधिक संचालन-रूप से खतरनाक हमले अब एकल-प्रॉम्प्ट जेलब्रेक नहीं हैं, बल्कि मल्टी-टर्न विरोधी अनुक्रम हैं जो व्यक्तिगत रूप से हानिरहित लगने वाले चरणों के माध्यम से आगे बढ़ते हैं—एक विवरण जो "पैक हंट" ढांचे से बहुत करीब से मेल खाता है ।

AI सुरक्षा परीक्षण के लिए निहितार्थ

Fable 5 जेलब्रेक यह साबित नहीं करता कि Anthropic के सुरक्षा दावे खोखले थे, लेकिन यह स्केलेबिलिटी (मापनीयता) के बारे में असहज सवाल जरूर उठाता है। पेशेवर संगठनों द्वारा 1,000 घंटे से अधिक की रेड-टीमिंग यह पता लगाने में विफल रही कि एक दृढ़ निश्चयी स्वतंत्र शोधकर्ता ने एक दिन से भी कम समय में क्या खोज निकाला। यह अंतर बताता है कि वर्तमान प्रमाणन कार्यक्रम, चाहे कितने भी कठोर हों, वास्तविक दुनिया की विरोधी रचनात्मकता की विविधता को व्यवस्थित रूप से कम करके आंक सकते हैं—खासकर एजेंटिक, मल्टी-टर्न, और सोशल-इंजीनियरिंग-प्रेरित दृष्टिकोणों के आसपास।

यह एक दुविधा भी पैदा करता है: यदि किसी मॉडल के गार्डरेल महीनों के संरचित परीक्षण का सामना करने के लिए पर्याप्त मजबूत हैं, लेकिन एक समन्वित मल्टी-एजेंट हमले का सामना करने पर ढह जाते हैं, तो सार्वजनिक रूप से जारी किए गए फ्रंटियर मॉडलों के लिए "सुरक्षा प्रमाणित" का वास्तव में क्या अर्थ है? कई कंपनियों और आर्किटेक्चर में प्लिनी के पैटर्न की गति और पुनरावृत्ति बताती है कि यह चुनौती किसी एक मॉडल डिजाइन के लिए विशिष्ट नहीं है, बल्कि प्रॉम्प्ट-स्तरीय सुरक्षा क्लासिफायर के वर्तमान प्रतिमान के लिए स्थानिक हो सकती है।