Resumo Técnico: ContextualJailbreak

Declaração do Problema

Os Modelos de Linguagem de Grande Escala (LLMs) permanecem vulneráveis a ataques de jailbreak que contornam o alinhamento de segurança, apesar do treinamento extensivo via Aprendizado por Reforço a partir de Feedback Humano (RLHF). Embora os métodos existentes de red-teaming automatizado tenham otimizado com sucesso prompts de turno único por meio de busca em caixa preta, eles falham em grande parte ao abordar a priming contextual—o fenômeno em que turnos anteriores em uma conversa tendenciam covertamente respostas posteriores. Os atacantes baseados em otimização atuais tratam a entrada como um artefato estático de turno único, mesmo que esse artefato contenha contexto embutido. Essa limitação estrutural exclui ataques onde uma trajetória conversacional molda progressivamente o quadro interpretativo do modelo antes que a solicitação prejudicial seja emitida. Consequentemente, o espaço de design para diálogos primados eficazes e de múltiplos turnos permanece amplamente inexplorado por sistemas automatizados.

Metodologia

O artigo introduz o ContextualJailbreak, uma estratégia de red-teaming em caixa preta que realiza uma busca evolutiva sobre um diálogo primado simulado de múltiplos turnos em vez de um único prompt. O sistema trata toda a trajetória conversacional como o objeto principal de otimização.

Arquitetura Central

O método opera como um loop de feedback iterativo consistindo nas seguintes etapas:

1. Seleção de Objetivo e Semente: Para um comportamento prejudicial específico (objetivo), o sistema amostra modelos históricos (sementes) de um banco de dados. A seleção é enviesada por pontuação, priorizando clusters com maiores pontuações de dano, enquanto mantém a diversidade por meio de um mecanismo de softmax escalonado por temperatura.
2. Mutadores de Priming Contextual: O sistema seleciona um de cinco operadores de mutação semanticamente definidos para transformar a conversa. Esses operadores determinam como o diálogo é enquadrado para fazer com que a solicitação prejudicial final pareça uma continuação natural:
   • Roleplay: Atribui um papel profissional ou analítico ao assistente.
   • Cenário: Incorpora a interação dentro de uma narrativa estruturada (por exemplo, ficcional ou histórica).
   • Expandir: Introduz informações de fundo e motivações para enviesar a interpretação.
   • Solução de Problemas: (Novo) Enquadra o objetivo como diagnosticar um processo ou experimento falho.
   • Mecanístico: (Novo) Foca no raciocínio analítico sobre mecanismos do sistema e decomposição causal.
3. Prompt de Mutação e Geração: Um prompt estruturado contendo a estratégia, o objetivo e exemplos históricos é alimentado em um modelo atacante (gerador), que produz um novo template adversarial de múltiplos turnos.
4. Avaliação: O template é instanciado com o comportamento alvo e enviado ao LLM alvo. As respostas são avaliadas por um sistema de julgamento de dois níveis:
   • Juiz de Barreira: Um filtro leve que atribui uma pontuação de 0 a recusas claras ou conclusões seguras irrelevantes, pulando o juiz principal.
   • Juiz Principal: Um avaliador de dano graduado de 0 a 5 (baseado na rubrica Hagendorff) que avalia o grau em que a resposta permite ações erradas. Uma pontuação de 4 indica uma resposta prejudicial quase completa, enquanto 5 é totalmente prejudicial.
5. Loop de Feedback: O template pontuado e a justificativa do juiz são armazenados de volta no pool de sementes para guiar gerações subsequentes.

Modelo de Ameaça

O estudo assume um cenário adversarial em caixa preta onde o atacante tem:

• Acesso de consulta ao LLM alvo via API (uma chamada por tentativa).
• Acesso a benchmarks públicos de comportamento prejudicial (HarmBench).
• Acesso a modelos geradores e juízes auxiliares.
• Nenhum acesso a pesos do modelo, logits ou dados de treinamento.
• Nenhuma adaptação por alvo durante experimentos de transferência (ataques descobertos em proxies de código aberto são reproduzidos verbatim em modelos de fronteira).

Contribuições Principais

1. Busca Evolutiva sobre Priming Contextual: Esta é a primeira estratégia automatizada de jailbreak em caixa preta que trata um diálogo primado de múltiplos turnos como o objeto principal de busca evolutiva, tornando a própria trajetória conversacional uma variável de busca.
2. Operadores de Mutação Novos: Os autores introduzem dois mutadores de alto rendimento, solução de problemas e mecanístico, que não são derivados de trabalhos anteriores de transformação de templates. A análise empírica mostra que estes estão entre os principais impulsionadores para alcançar altas Taxas de Sucesso de Ataque (ASR), particularmente em alvos difíceis.
3. Evidência Empírica de Assimetria no Nível do Provedor: O artigo fornece evidências em grande escala de que ataques evoluídos contra um proxy de código aberto transferem-se efetivamente para modelos de fronteira fechados da OpenAI e do Google, mas falham significativamente contra modelos da Anthropic, revelando uma assimetria aguda na robustez do alinhamento que é independente da escala do modelo.

Resultados Experimentais

A estratégia foi avaliada em 50 comportamentos representativos do HarmBench em quatro alvos de código aberto (gpt-oss:20B, gpt-oss:120B, llama3.1:70B, qwen3-8B) e comparada a quatro baselines (DirectRequest, Encoding, HumanJailbreak, Crescendo).

• Eficácia do Ataque: O ContextualJailbreak alcançou 100% de ASR@4 no gpt-oss:20B, qwen3-8B e llama3.1:70B, e 90% de ASR@4 no robusto gpt-oss:120B. Isso superou todas as baselines em uma média de 31–96 pontos percentuais. Notavelmente, o gpt-oss:120B recusou 100% das solicitações diretas (0% de ASR@4), mas foi comprometido por 90% dos ataques primados de múltiplos turnos.
• Contexto vs. Conteúdo: Uma comparação controlada mostrou que o Priming Contextual (múltiplos turnos estruturados) superou significativamente solicitações de Sequência Única (conteúdo achatado) e Diretas. A organização estrutural do diálogo, e não apenas o conteúdo semântico, foi identificada como o fator crítico, com o ASR@5 saltando de 29% (Sequência Única) para 90% (Priming Contextual) em média.
• Análise de Mutadores: Os operadores solução de problemas e mecanístico foram encontrados como os principais impulsionadores para avançar a busca em direção a limiares de alto ASR. A Solução de Problemas dominou o progresso incremental (de ASR@1 a ASR@4), enquanto o Expandir especializou-se na exploração final (ASR@5).
• Ataques de Transferência:
  • Transferência de Código Aberto: Ataques descobertos em modelos mais fortes (por exemplo, 120B) transferiram-se efetivamente para modelos mais fracos (por exemplo, 8B, 20B), mas o inverso não foi verdadeiro.
  • Transferência para Fronteira: 40 ataques maximamente prejudiciais descobertos contra o gpt-oss:120B foram reproduzidos verbatim em modelos de fronteira fechados. Eles alcançaram 90,0% de ASR@4 no gpt-4o-mini, 70,0% no gpt-5 e 70,0% no gemini-3-flash. Em contraste marcante, alcançaram apenas 17,5% no claude-opus-4-7 e 15,0% no claude-sonnet-4-6.

Significado e Alegações

O artigo afirma que o priming contextual simulado de múltiplos turnos é uma superfície de ataque qualitativamente superior em comparação com a perturbação de prompts de turno único. As descobertas sugerem que:

1. Estratégia de Alinhamento > Escala do Modelo: A robustez é determinada mais pela receita de alinhamento do provedor do que pela contagem de parâmetros. A pilha de segurança da Anthropic demonstrou resistência significativamente maior a ataques de transferência em comparação com a OpenAI e o Google, mesmo ao comparar modelos maiores (Opus) com modelos menores (Sonnet) dentro da mesma família.
2. Exploração Estrutural: A vulnerabilidade reside no alinhamento conversacional do modelo. Ao simular acordo e contexto anteriores, o ataque força o modelo a processar a solicitação prejudicial a partir de um estado comprometido, onde rejeitar o prompt final quebraria a consistência conversacional.
3. Implicações para Defesa: À medida que os LLMs migram para aplicações interativas de múltiplos turnos, as defesas devem evoluir do simples filtramento em nível de prompt para alinhamento consciente do contexto que permaneça resiliente em trajetórias conversacionais em evolução. A assimetria observada no nível do provedor sugere que defesas robustas são alcançáveis, mas exigem ajustes arquitetônicos ou de treinamento específicos, distintos das práticas padrão atuais.

Os autores enfatizam que o banco de dados completo de ataques é retido da divulgação pública para prevenir o mau uso, aderindo a protocolos de divulgação responsável compartilhados apenas com os provedores afetados.