Ataque meta-adaptativo quebra modelos de visão-linguagem de ponta em mais de 80% dos casos
O ataque MAMJ (Meta-Adaptive Multimodal Jailbreaking) não otimiza apenas a imagem ou o texto de um jailbreak multimodal, mas o próprio processo de ataque: a estratégia usada para iterar e os parâmetros do modelo atacante. Contra GPT-4o, Gemini-3-Pro-Preview e Seed 2.0, o método atingiu taxas de sucesso de 78,9% a 82,3% no benchmark MM-SafetyBench, superando a melhor linha de base em até 24,1 pontos percentuais, e o atacante treinado transferiu para modelos-alvo nunca vistos sem retreinamento.
Jailbreaks multimodais tentam contornar as salvaguardas de segurança de modelos de visão-linguagem (VLMs) combinando imagem e texto de forma a induzir respostas que o modelo recusaria em texto puro. Até aqui, esses ataques eram majoritariamente estáticos no nível meta: ataques baseados em template fixam o layout entre imagem e texto, e ataques iterativos até adaptam o conteúdo, mas mantêm fixos tanto a estratégia de iteração quanto os parâmetros do atacante.
O MAMJ muda essa equação ao tratar o próprio atacante como algo treinável em dois eixos simultâneos: um prompt de estratégia de ataque (θ), que rege como a iteração deve evoluir a cada rodada, e os pesos do atacante (φ), que determinam a eficácia de cada tentativa. O processo de treinamento intercala uma etapa de crítica feita por um LLM, que refina θ observando grupos de trajetórias de ataque, com uma etapa de atualização de φ usando recompensas agregadas de taxa de sucesso de ataque (ASR). Ou seja, o sistema aprende não só a produzir jailbreaks melhores, mas a aprender a atacar melhor.
Os números são o que torna o resultado preocupante: contra três famílias de modelos de fronteira comercialmente relevantes, a taxa de sucesso ficou acima de 78% em todos os casos, superando a melhor linha de base publicada em até 24 pontos percentuais. Mais grave ainda, o par (θ*, φ*) aprendido em um conjunto de vítimas transferiu, sem qualquer retreinamento, para modelos nunca vistos durante o treinamento, e continuou eficaz mesmo contra defesas representativas do estado da arte.
Para quem opera ou integra VLMs em produção, o achado central não é apenas 'existe mais um jailbreak' — é que a superfície de ataque se estende ao nível meta: um adversário pode investir em otimizar o próprio processo de ataque, e esse investimento generaliza entre modelos e sobrevive a defesas pontuais. Isso reforça a necessidade de defesas que também operem no nível meta (por exemplo, detectando padrões de exploração adaptativa ao longo de sessões), em vez de apenas filtrar prompts individuais.