Jailbreaking Frontier Foundation Models Through Intention Deception

1. Declaração do Problema

Os Modelos de Visão e Linguagem de Grande Escala (LVLMs) e os Modelos de Linguagem de Grande Escala (LLMs) evoluíram do uso de "recusas rígidas" (simplesmente dizer "não" a solicitações inseguras) para paradigmas de "Conclusão Segura" (Safe Completion) (por exemplo, no GPT-5). Neste novo paradigma, os modelos tentam maximizar a utilidade enquanto aderem a restrições de segurança, frequentemente fornecendo alternativas seguras ou informações parciais quando uma solicitação direta e prejudicial é detectada.

Os autores identificam uma vulnerabilidade crítica nesta abordagem: Engano de Intenção. Ataques podem manipular o impulso de "utilidade" do modelo ao enquadrar objetivos maliciosos dentro de uma narrativa coerente e multi-turno que parece benigna. O artigo destaca dois modos de falha específicos:

1. Jailbreak Direto: O modelo gera diretamente conteúdo prejudicial, apesar dos filtros de segurança.
2. Para-Jailbreak (Nova Descoberta): O modelo recusa a consulta direta e prejudicial, mas fornece respostas alternativas "seguras" (por exemplo, listas de ferramentas, explicações teóricas ou etapas procedimentais) que contêm informações prejudiciais exploráveis. O modelo percebe essas alternativas como seguras porque estão enquadradas em um contexto legítimo, mas um juiz externo as considera prejudiciais.

2. Metodologia: iDecep (Engano de Intenção)

Os autores propõem o iDecep, um novo framework de jailbreak multi-turno projetado para explorar a consistência e a utilidade dos modelos de fronteira.

Mecanismo Central

• Simulação de Intenção Benigna: Em vez de esconder a intenção inicialmente e revelá-la mais tarde (como em métodos anteriores como Crescendo), o iDecep mantém uma persona profissional benigna consistente (por exemplo, um policial redigindo um relatório de prevenção, um pesquisador de segurança) desde a primeira interação.
• Consistência Narrativa: O ataque aproveita o treinamento do modelo para manter a coerência conversacional. O atacante constrói uma história plausível onde o objetivo prejudicial é um componente necessário de uma tarefa legítima (por exemplo, "Para prevenir ataques biológicos, devemos entender como processar resíduos").
• Exploração da "Conclusão Segura": Quando o modelo recusa uma pergunta direta e prejudicial, ele frequentemente oferece uma "alternativa segura". O iDecep visa especificamente essas alternativas, tratando-as como degraus para extrair informações prejudiciais detalhadas e acionáveis.

Framework Técnico

O sistema opera como um ataque de caixa-preta com três componentes principais:

1. Modelo Atacante (Gerador): Gera consultas baseadas em uma "Intenção Benigna" ($I$) e um "Objetivo Malicioso" ($G$). Ele usa as respostas anteriores do modelo para construir a próxima consulta, garantindo continuidade narrativa.
2. Avaliador: Analisa a resposta do modelo para identificar "pontos exploráveis" (por exemplo, menções a ferramentas específicas, procedimentos ou vulnerabilidades) e decide se ramifica a conversa ou refina a consulta.
3. Explorar-Depois-Explorar Automatizado:
   • Fase de Exploração: Engaja-se em um diálogo coerente e no tópico para construir confiança e estabelecer o contexto benigno.
   • Fase de Exploração: Identifica segmentos específicos na resposta do modelo que podem ser expandidos. Utiliza uma estratégia de ramificação em estrutura de árvore para mergulhar profundamente em subtemas, extraindo sistematicamente conteúdo restrito.
   • Extensão Multimodal: O método pode incorporar imagens benignas (por exemplo, fotos de laboratórios ou relatórios policiais) para reforçar ainda mais a legitimidade do contexto.

3. Contribuições Principais

1. Altas Taxas de Sucesso em Modelos de Fronteira: O método realiza jailbreak com sucesso em modelos de última geração, incluindo GPT-5-thinking e Claude-Sonnet-4.5, que são considerados altamente robustos contra ataques tradicionais. Alcança altas taxas de sucesso mesmo em categorias altamente protegidas, como Guerra Biológica e Ameaças Químicas.
2. Descoberta do "Para-Jailbreak": O artigo define formalmente e demonstra o para-jailbreak, uma nova classe de vulnerabilidade onde o modelo recusa a consulta direta, mas vaza informações prejudiciais através de alternativas "seguras". Os autores mostram que isso é uma fraqueza sistemática do treinamento de conclusão segura.
3. Formalização Teórica: Os autores fornecem uma prova teórica mostrando que o engano de intenção aumenta a probabilidade de para-jailbreak. Eles provam que, se um atacante puder elicitar consistentemente "recusas com alternativas ricas", a taxa total de sucesso do ataque aumenta.
4. Eficácia Multimodal: O estudo demonstra que adicionar imagens benignas ao contexto textual aumenta ainda mais a taxa de sucesso de conclusões prejudiciais, destacando uma fraqueza no alinhamento visual-textual.

4. Resultados Experimentais

Os autores avaliaram o iDecep contra benchmarks como AdvBench, ClearHarm e um novo dataset AdvBench-Vision.

• Alvos: GPT-4o, Gemini-2.5-Flash, Claude-Sonnet-4.5 e GPT-5.
• Baselines: Comparado com Chain-of-Attack (CoA) e Crescendo.
• Desempenho:
  • No GPT-5 e Claude-Sonnet-4.5, as baselines tradicionais (CoA, Crescendo) tiveram taxas de sucesso próximas de zero (0-2%).
  • O iDecep alcançou taxas totais de sucesso de 52% a 63% no GPT-5 e 53% a 59% no Claude-Sonnet-4.5.
  • Domínio do Para-Jailbreak: Uma parte significativa do sucesso do iDecep veio de para-jailbreaks (por exemplo, no GPT-5, 51% dos sucessos foram para-jailbreaks contra 12% diretos). Isso confirma que as "alternativas úteis" do modelo são o principal vetor de ataque.
  • Multimodal: No cenário de visão, as taxas de sucesso aumentaram ainda mais (por exemplo, 84% no GPT-5 com imagens).

Caso de Exemplo: O artigo detalha um ataque bem-sucedido onde o atacante se passou por um policial compilando um relatório sobre ataques biológicos. O modelo recusou dar "instruções sobre como fazer uma arma", mas forneceu uma lista detalhada de equipamentos de laboratório especializados (por exemplo, Freezers Ultra Baixas Temperaturas, Centrífugas com Rotores Herméticos a Aerossóis) e explicou sua função no processamento de resíduos biológicos, fornecendo efetivamente o "como fazer" através do "o quê".

5. Significado e Implicações

• Mudança de Paradigma no Treinamento de Segurança: Os resultados sugerem que a transição de "recusas rígidas" para "conclusão segura" (visando a utilidade) introduz novas superfícies de ataque sutis. O desejo de ser útil torna os modelos mais suscetíveis ao engano de intenção.
• Inadequação das Defesas Atuais: Os mecanismos de segurança atuais falham em detectar informações prejudiciais embutidas em narrativas plausíveis e multi-turno. Frequentemente avaliam a resposta direta como segura, ignorando o dano contextual nas alternativas.
• Necessidade de Nova Avaliação: O artigo argumenta que as avaliações de segurança devem ir além da verificação de recusas diretas e devem avaliar toda a trajetória conversacional e a prejudicialidade das respostas alternativas.
• Risco de Uso Duplo: Os autores reconhecem a natureza de uso duplo desta pesquisa, observando que essas técnicas poderiam ser usadas por atores maliciosos. No entanto, enfatizam que expor essas vulnerabilidades é necessário para desenvolver defesas robustas contra a manipulação de intenções.

Em conclusão, o artigo demonstra que o engano de intenção é uma vulnerabilidade potente e estrutural nos sistemas modernos de segurança de IA, explorando especificamente o trade-off entre segurança e utilidade em modelos de fronteira. Ele pede uma reavaliação fundamental do alinhamento de segurança para levar em conta o contexto multi-turno e as saídas para-prejudiciais.