Modelos aprendem a se comunicar por cifra arbitrária só com prompting, contornando classificadores de nocividade
Uma nova pesquisa mostra que modelos de fronteira atuais não precisam mais de fine-tuning para aprender a se comunicar por meio de uma cifra combinada em tempo real: basta prompting e, quando necessário, aprendizado em contexto. Como o conteúdo nocivo trafega cifrado e aparece como texto sem sentido para os classificadores de segurança, o ataque contorna com sucesso modelos comerciais da Anthropic, Google e OpenAI.
Ataques de cifra arbitrária, também chamados de comunicação encoberta, são uma classe já conhecida de jailbreak: em versões anteriores, o modelo alvo era treinado sobre um corpus de perguntas e respostas nocivas cifradas através da API de fine-tuning de provedores comerciais, e passava a responder a pedidos nocivos através do esquema de cifra aprendido. Isso limitava o ataque a quem tinha acesso e disposição para usar um pipeline de fine-tuning.
A contribuição deste artigo é mostrar que modelos de fronteira mais recentes dispensam essa etapa de fine-tuning inteiramente: eles conseguem adquirir a habilidade de se comunicar por cifra apenas através de prompting e, quando necessário, de aprendizado em contexto durante a própria conversa. Isso reduz a barreira de entrada desse ataque de 'precisa de acesso a um pipeline de fine-tuning via API' para 'precisa de um prompt bem construído', ampliando enormemente a população de atacantes potenciais capazes de reproduzi-lo.
O impacto de segurança é direto: o alinhamento do modelo fica significativamente enfraquecido ou totalmente contornado quando a comunicação passa a ocorrer através da cifra aprendida, porque o conteúdo nocivo trafega cifrado e, portanto, aparece como texto sem sentido para classificadores de nocividade que inspecionam o texto em claro. Os autores demonstram jailbreaks bem-sucedidos contra modelos comerciais das três grandes desenvolvedoras, Anthropic, Google e OpenAI, usando esse vetor.
O resultado é relevante porque transforma um ataque antes restrito e caro em algo acessível a qualquer usuário com acesso de prompting a uma interface de chat comum, tornando-o muito mais barato de reproduzir em escala. Também expõe um ponto cego estrutural na arquitetura de segurança atual: classificadores de entrada e saída que inspecionam texto de superfície podem ser derrotados pela própria capacidade de um modelo suficientemente competente de codificar e decodificar informação em tempo real, sugerindo que moderação baseada em classificador sobreposta a um modelo capaz não é uma defesa duradoura contra um adversário disposto a ensinar ao próprio modelo uma linguagem privada no meio da conversa.