La superficie residual de jailbreak: los ataques adaptativos aún rompen los modelos de frontera

¿De qué se trata?

En junio de 2026, el Dr. Nicola Franco, del AI Security Lab del Italian Institute of Artificial Intelligence (AI4I), publicó Measuring the Residual Jailbreak Surface of Frontier Large Language Models (arXiv:2606.18193), un estudio red-team de caja negra sobre dos modelos de frontera de Anthropic, Opus 4.8 y Fable 5. Es un trabajo de medición, no un manual de ataque: la pregunta no es si los modelos de frontera pueden ser jailbreakeados —todos lo saben— sino cuánta superficie residual queda tras un entrenamiento de seguridad intensivo, qué técnicas todavía la alcanzan y dónde se concentra la exposición.

El diseño es deliberadamente conservador. Sobre 7826 intenciones dañinas distintas repartidas en una taxonomía de diez categorías, cuatro familias de ataque automatizado generaron cientos de miles de intentos, y cada éxito aparente fue reevaluado sin conexión por un panel independiente de tres modelos jueces de familias diferentes. Solo cuentan los intentos confirmados por mayoría de 2 sobre 3. Esa adjudicación en dos etapas es clave: los pipelines de juez único sobrestiman el éxito al premiar una apertura que suena conforme («Claro, aquí tienes…») aunque el fondo sea inofensivo.

Cómo funciona

El estudio emplea el framework de código abierto HackAgent, que orquesta un modelo atacante contra un objetivo y registra cada intento. Las cuatro familias se agrupan en dos campos. La ofuscación estática (los decoradores h4rm3l: base64, cifrados por carácter, fragmentación de la carga útil, priming few-shot, juego de rol «DAN», encuadre enciclopédico) aplica transformaciones de cadena fijas, sin retroalimentación. Los ataques adaptativos y de persuasión leen los rechazos del objetivo y reescriben: PAIR refina un mismo prompt en bucle, TAP (tree-of-attacks) explora un árbol podado de prompts candidatos puntuados al vuelo, y PAP reformula la solicitud con estrategias de persuasión humana en un solo paso.

El contraste es nítido. Pese a unos 50 000 intentos cada una, la familia estática h4rm3l se confirma en un 0,2 % o menos — prácticamente neutralizada. La superficie residual reside casi por completo en las familias guiadas por retroalimentación, que suman entre el 95 y el 97 % de los jailbreaks confirmados. La más fuerte, la búsqueda tree-of-attacks, confirma jailbreaks en el 11,5 % de las intenciones contra Opus 4.8 y el 6,1 % contra Fable 5. Punto crucial: los evasiones son contextuales, no léxicas: tienen éxito reformulando una intención inalterada («una parte legítima de la formación en seguridad», «pentesters autorizados»), no codificándola — precisamente por eso los filtros de entrada superficiales los pasan por alto.

Por qué importa

Las tasas de resistencia agregadas tranquilizan hasta que se les da la vuelta. La campaña que «resiste el 89 %» produjo 1620 (Opus 4.8) y 702 (Fable 5) completaciones dañinas confirmadas por el panel, abarcando todas las categorías de daño, incluidas las más graves — armamentización cibernética, desinformación, autolesión y encuadres relativos a la seguridad infantil. Tres propiedades agravan el cuadro. Los fallos se hallaron de forma automática, con un modelo atacante sin experto humano en el bucle. Se hallaron rápido y barato: los jailbreaks exitosos se concentran al inicio, normalmente en el primer o segundo paso de refinamiento, de modo que iterar más apenas aporta al atacante. Y a escala de despliegue —millones de interacciones al día— una tasa de esta magnitud no es un error de redondeo, sino un flujo constante y reproducible. Ambos modelos comparten una debilidad en los encuadres ligados a la seguridad infantil; la exposición de Opus 4.8 es aproximadamente el doble que la de Fable 5 y se extiende a dos dígitos en varias categorías, mientras que Fable 5 mantiene la ciberseguridad cerca de cero.

Defensas

La implicación central del estudio es arquitectónica, no cosmética. Como los ataques supervivientes operan por encuadre y no por codificación, la sanitización de entrada y los filtros léxicos son la capa equivocada — las propias campañas estáticas de 50 000 intentos, que devuelven ≤ 0,2 %, muestran que la ofuscación ya está resuelta. Los defensores deberían pasar a una supervisión semántica y sensible al contexto de las interacciones multiturno, vigilando el patrón de reformulación (autoridad, hipótesis, pretexto de «formación en seguridad») a lo largo de toda una conversación en lugar de en un solo mensaje. Como los éxitos se concentran al principio, un escrutinio reforzado de los primeros turnos y comprobaciones de estabilidad del rechazo en las primeras una o dos reescrituras adaptativas capturan la mayor parte del riesgo. Trate el ASR agregado como un piso, no como una nota: evalúe por categoría y por subcategoría, ya que la exposición se concentra en un puñado de celdas (phishing/ransomware y desarrollo de exploits para Opus 4.8; desinformación y lenguaje de acoso para Fable 5) que el promedio oculta. Por último, superponga los controles de producción que el estudio no modeló — prompts de sistema, filtros de salida y monitoreo independiente — puesto que el artículo mide el modelo en bruto, y los despliegues reales deberían quedar por debajo de sus cifras.

Status

Se trata de investigación defensiva sobre la robustez de modelos desplegados y entrenados en seguridad. No se publica ningún exploit, carga útil ni utillaje armado; las completaciones dañinas se reproducen solo como extractos breves y no operativos del encuadre, truncados antes de cualquier contenido accionable. La evaluación es independiente y sin afiliación ni respaldo de ningún proveedor de modelos.

Elemento	Detalle
Publicación	arXiv:2606.18193, junio de 2026
Autor / afiliación	Dr. Nicola Franco, AI Security Lab, AI4I (Turín)
Framework	HackAgent (kit de red-team de código abierto)
Alcance	Robustez de jailbreak en caja negra de Opus 4.8 y Fable 5
Benchmark	7826 intenciones dañinas, 10 categorías / 55 subcategorías
Resultado clave	Ofuscación estática ≤ 0,2 %; TAP adaptativo 11,5 % (Opus 4.8) / 6,1 % (Fable 5); éxitos concentrados en 1–2 pasos
Adjudicación	Dos etapas, panel independiente de 3 jueces (mayoría 2 de 3)

Nota: este artículo trata sobre la seguridad de los modelos y la robustez frente a jailbreaks. Si usted atraviesa una situación de angustia personal, existe apoyo disponible a través de los recursos de crisis locales.