Activation Surgery: Jailbreaking White-box LLMs without Touching the Prompt

Resumo Técnico: Cirurgia de Ativação (Activation Surgery)

1. O Problema

Os Grandes Modelos de Linguagem (LLMs) modernos incorporam mecanismos de segurança robustos para recusar a geração de conteúdo prejudicial. No entanto, a maioria das técnicas de "jailbreak" (contorno de segurança) existentes baseia-se na modificação do prompt de entrada (texto), utilizando estratégias como parafraseamento, ofuscação, criação de personas ou sufixos adversariais.

O artigo identifica uma lacuna de segurança crítica em ambientes de caixa-branca (onde o atacante tem acesso aos pesos do modelo e ao ambiente de inferência): a possibilidade de manipular as ativações internas do modelo durante a geração, sem alterar o texto de entrada. O objetivo é contornar os mecanismos de recusa (refusal) interceptando e modificando o fluxo de dados no interior da rede neural, explorando a vulnerabilidade de que as políticas de segurança podem ser desativadas alterando o estado interno, e não apenas a entrada.

2. Metodologia

Os autores propõem uma técnica chamada Cirurgia de Ativação (Activation Surgery), que opera em três etapas principais:

• Construção de um Prompt "Gêmeo" (Twin Prompt):
  Para cada prompt ilícito (ex: "Como fazer uma bomba?"), o atacante constrói manualmente um prompt "gêmeo" benigno que difere o mínimo possível em termos de tokens, mas gera uma resposta segura e substantiva (ex: "Como fazer um livro?"). O prompt gêmeo atua como um "doador de órgãos", fornecendo ativações seguras para substituir as do prompt ilícito.

• Substituição Sequencial de Ativações (Patch-then-Compute):
  Diferente de métodos que tentam modificar todas as camadas de uma vez, a Cirurgia de Ativação opera de forma sequencial para respeitar a causalidade computacional da rede:

  1. O modelo processa o prompt ilícito até a camada $l$.
  2. As ativações do token final do prompt ilícito são interceptadas.
  3. Uma operação de "patch" (remendo) substitui seletivamente as dimensões das ativações do prompt ilícito pelas ativações correspondentes do prompt gêmeo.
  4. O modelo continua a computação da camada $l+1$ usando o estado modificado.
  5. O processo repete-se camada por camada até a geração da resposta.

• Parâmetros de Controle ($\tau$ e $\gamma$):
  A técnica utiliza dois hiperparâmetros fundamentais para controlar a intervenção:

  • $\tau$ (Limiar de Divergência): Define quais dimensões do vetor de ativação serão substituídas. Apenas as dimensões onde a diferença entre o prompt ilícito e o gêmeo excede $\tau$ são patcheadas. Isso evita substituir tudo (o que geraria uma resposta irrelevante) ou substituir pouco (o que não impede a recusa).
  • $\gamma$ (Intensidade de Interpolação): Define quais valores são injetados. Em vez de uma substituição binária, o método interpola entre a ativação benigna e a ilícita. $\gamma=0$ usa a ativação totalmente benigna, enquanto $\gamma=1$ mantém a ativação original. Valores intermediários permitem um equilíbrio entre a utilidade da resposta e a supressão da recusa.

3. Contribuições Principais

• Nova Superfície de Ataque: Demonstra que é possível realizar jailbreaks em modelos de caixa-branca sem tocar no prompt de entrada, manipulando apenas o estado interno durante a inferência.
• Mapeamento de Mecanismos de Recusa: A técnica serve como ferramenta de diagnóstico, revelando em quais camadas e dimensões os sinais de recusa emergem e se propagam. Os autores observam que a divergência entre respostas seguras e inseguras ocorre em profundidades intermediárias do modelo.
• Protocolo de Avaliação Rigoroso: Diferente de muitos trabalhos que medem sucesso apenas pela ausência de recusa (qualquer resposta não é recusa), os autores distinguem entre respostas "não relacionadas/vagas" e respostas acionáveis (úteis para o objetivo malicioso). Utilizam um sistema de classificação Elo baseado em LLMs e verificação manual para ranquear a utilidade das respostas geradas.
• Validação em Modelos de Ponta: O método foi testado com sucesso em modelos recentes e fortemente alinhados, como o Llama-4-Scout-17B, Qwen2.5-7B e Mistral-7B.

4. Resultados Empíricos

• Taxa de Sucesso: No conjunto de dados AdvBench (520 prompts prejudiciais), a Cirurgia de Ativação obteve respostas acionáveis em 32,8% dos casos no modelo Llama-4-Scout-17B, comparado a apenas 7,1% na linha de base (sem ataque).
• Categorias de Sucesso:
  • Ataques Cibernéticos e Bypass de Segurança: 39,8% de sucesso.
  • Desinformação e Discriminação: 27,9% de sucesso.
  • Bombas e Armas: 24,1% de sucesso.
• Qualidade da Resposta: O método foi capaz de gerar instruções detalhadas para atividades ilegais (ex: fabricação de explosivos, scripts de keylogging, artigos de fake news convincentes), demonstrando que a segurança não é apenas contornada, mas efetivamente desativada para gerar conteúdo útil ao atacante.
• Regiões Operacionais: A análise de hiperparâmetros revelou uma "zona operacional" estável (geralmente $\tau \in [0.4, 1.0]$ e $\gamma \in [0.0, 0.3]$) onde a intervenção é suficientemente forte para suprimir a recusa, mas conservadora o suficiente para manter a coerência da resposta.

5. Significado e Implicações de Segurança

• Vulnerabilidade Fundamental: O trabalho expõe uma vulnerabilidade crítica em implantações de modelos de pesos abertos (open-weights) e ambientes de inferência instrumentados. Se um adversário tiver acesso ao tempo de execução (runtime) para inspecionar e modificar tensores intermediários, as políticas de alinhamento podem ser contornadas sem deixar rastros no prompt de entrada.
• Defesas Necessárias: Os resultados sugerem que a segurança de LLMs não depende apenas do alinhamento de treinamento, mas também da integridade da execução. O artigo motiva o desenvolvimento de defesas de tempo de execução, como:
  • Attestation (atestado) de execução.
  • Computação verificável.
  • Verificação de integridade das ativações.
  • Detecção de anomalias no fluxo de ativações internas.
• Ética: Os autores redigem os detalhes operacionais das respostas maliciosas geradas para fins de segurança, focando em documentar falhas para melhorar a robustez dos modelos, em vez de fornecer um guia para adversários.

Em suma, a "Cirurgia de Ativação" representa um avanço significativo na compreensão das falhas de segurança de LLMs, mostrando que a manipulação direta do espaço latente é uma via eficaz e perigosa para contornar salvaguardas de segurança modernas.