Resumo Técnico: Memória de Ataque Estruturada por Habilidades em Evolução Aprimora Jailbreaking de LLMs

Declaração do Problema

Modelos de Linguagem de Grande Escala (LLMs) são alinhados para recusar solicitações prejudiciais, mas permanecem vulneráveis a ataques de jailbreak que induzem conteúdo não permitido. Embora a geração automatizada de jailbreaks de caixa preta seja crítica para avaliação de segurança, os métodos existentes enfrentam limitações significativas em eficiência e eficácia. As abordagens atuais geralmente se enquadram em duas categorias:

1. Busca Heurística por Amostra: Métodos como TAP refinam prompts com base em feedback imediato para uma única trajetória de ataque. No entanto, essa experiência é local e de curta duração; lições aprendidas estão entrelaçadas com trajetórias de amostras específicas, levando à redescoberta redundante de táticas e fraca transferibilidade entre diferentes objetivos.
2. Reutilização de Experiência Acumulada: Métodos como GAP e AutoDAN-Turbo reutilizam casos bem-sucedidos, sementes de mutação ou pools de estratégias entre amostras. No entanto, esses pools frequentemente carecem de organização sistemática. Sem gerenciamento estruturado, padrões redundantes, frágeis ou obsoletos podem sufocar estratégias confiáveis, dificultando a distinção entre táticas úteis e sucessos sortudos ou a reativação de estratégias que se tornam relevantes sob condições alteradas.

O desafio central é avançar além da simples acumulação rumo a uma organização e gerenciamento sistemáticos da experiência de ataque que apoiem conhecimento reutilizável, evolutivo e estatisticamente rastreável em um cenário de caixa preta onde apenas as saídas do modelo são observáveis.

Metodologia: MemoAttack

Os autores propõem o MemoAttack, um framework de jailbreak de caixa preta orientado por memória que transforma a experiência de ataque em uma "memória estruturada por habilidades". O framework opera por meio de um loop de tempo de execução que alterna entre seleção de ramificações no nível da árvore e seleção de habilidades no nível da memória. É baseado em três designs-chave:

1. Modelagem de Memória Estruturada por Habilidades

Em vez de tratar reescritas bem-sucedidas como prompts ou trajetórias isoladas, o MemoAttack abstrai padrões de ataque em unidades de memória estruturadas por habilidades reutilizáveis. Cada unidade é uma abstração nomeada contendo:

• Identidade e Orientação: Um nome, template e racional explicando o mecanismo.
• Campos de Recuperação: Embeddings semânticos e exemplos recuperados para correspondência.
• Campos de Evidência e Seleção: Posteriores de seleção e estatísticas de evidência direta que rastreiam progresso parcial e sucesso final.
• Campos de Proveniência e Ciclo de Vida: Metadados que rastreiam a origem da unidade e seu estado atual.

Crucialmente, o modelo atacante recebe apenas uma "visão projetada" dessas unidades (nome, racional, template, exemplos), enquanto os parâmetros posteriores e os estados do ciclo de vida permanecem privados ao controlador. Essa separação permite que o sistema rastreie a responsabilidade estatística sem entrelaçar o atacante com variáveis internas de contabilidade.

2. Evolução de Memória Orientada por Ciclo de Vida

Para evitar o crescimento monótono de pools de memória encontrado em métodos baseados em acumulação, o MemoAttack trata a memória como um sistema de ciclo de vida controlado. As unidades transitam por quatro estados com base em evidências acumuladas:

• Candidato: Unidades recém-inventadas ou mutadas entram em período de prova. Elas devem ganhar promoção para status ativo por meio de evidência direta ou progresso recente; candidatos fracos são rejeitados precocemente.
• Ativo: O principal pool reutilizável. Unidades movem-se para aqui após validação suficiente.
• Aposentado: Unidades com utilidade decrescente ou evidência obsoleta movem-se para aqui. Elas são amostradas apenas ocasionalmente como sondas. Evidência positiva pode reativá-las; desempenho subótimo repetido move-as para eliminado.
• Eliminado: Unidades que não participam mais da seleção.

Esse ciclo de vida permite que o sistema limpe unidades fracas ou obsoletas (via eliminação ou evicção física) enquanto preserva oportunidades de recuperação sob novas evidências, garantindo que o pool de memória permaneça limitado e adaptativo.

3. Seleção de Memória Equilibrada entre Exploração e Exploração

O MemoAttack seleciona unidades de memória usando Amostragem de Thompson Contextual para equilibrar reutilização confiável com exploração orientada por incerteza. A utilidade de seleção combina:

• Utilidades Posteriores Duplas: Duas distribuições Beta são mantidas para cada unidade: uma para progresso parcial e outra para sucesso final. Isso distingue unidades que contornam a recusa daquelas que induzem conformidade prejudicial.
• Bônus Contextual: Uma soma ponderada de características incluindo correspondência semântica, lacuna de pontuação, progresso/sucesso recente, penalidades de repetição e status de período de prova.

O controlador classifica as unidades por $U(m | x_u) = UTS(m) + B(x_u, m) - \lambda_{ret}I_{ret}(m)$, selecionando as top-$k$ unidades para orientar o refinamento do prompt do atacante.

Contribuições Principais

O artigo reivindica três contribuições primárias:

1. Modelagem de Memória Estruturada por Habilidades: Representar conhecimento de ataque como unidades de habilidade estruturadas com templates, racionais e estados de ciclo de vida, tornando comportamentos de ataque individuais tratáveis e estatisticamente rastreáveis.
2. Evolução de Memória Orientada por Ciclo de Vida: Implementar um sistema de transição de estado (candidato, ativo, aposentado, eliminado) que evita o crescimento monótono da memória e permite a reativação de estratégias úteis.
3. Seleção de Memória Equilibrada entre Exploração e Exploração: Utilizar evidência posterior e Amostragem de Thompson Contextual para permitir reutilização consciente de incerteza, onde unidades confiáveis são exploradas enquanto unidades pouco exploradas recebem exposição controlada.

Resultados Experimentais

Os autores avaliaram o MemoAttack no AdvBench contra baselines de última geração (TAP, GAP e AutoDAN-Turbo) em três modelos-alvo (kimi-k2.5, minimax-M2.5 e qwen3.5-397B-A17B) sob uma configuração unificada de caixa preta.

• Taxa de Sucesso do Ataque (ASR): O MemoAttack alcançou uma ASR média de 98,00% (147/150 objetivos), superando a baseline mais forte (GAP, 81,33%) em 16,67 pontos percentuais.
• Eficiência de Consultas: O MemoAttack reduziu a contagem média de solicitações para execuções bem-sucedidas em 45,9% (de 13,66 para 7,39 solicitações) em comparação com a baseline mais forte.
• Estudos de Ablação: Remover a maquinaria de memória (A1) causou a maior queda na ASR (-16,67 pontos), seguido pela substituição da classificação posterior por seleção aleatória (A2, -13,89 pontos). Desabilitar o controle de ciclo de vida (A4) e mutação/invenção (A3) também resultou em degradação significativa de desempenho, confirmando que os três componentes são complementares.
• Dinâmica de Memória: Diagnósticos mostraram que o pool de memória residente permanece limitado (estabilizando perto de 128 unidades) apesar de propostas contínuas, com uma distribuição de cauda longa de uso onde âncoras de alta evidência permanecem reutilizáveis enquanto descendentes especializados ocupam nichos mais estreitos.

Significado e Limitações

Significado:
O artigo argumenta que o MemoAttack demonstra que tornar o conhecimento de ataque reutilizável explícito, selecionável e evolutivo melhora significativamente tanto a taxa de conversão final quanto o custo para o sucesso na busca de jailbreaks de caixa preta. Ao transformar a experiência de ataque em uma memória de habilidade guiada por posterior e evoluída por ciclo de vida, o framework avança além da simples acumulação para o gerenciamento eficaz de conhecimento adversarial.

Limitações:
Os autores reconhecem várias limitações:

• Escopo da Avaliação: Os experimentos foram conduzidos no AdvBench com entradas apenas de texto e três modelos-alvo específicos. A abordagem não foi testada em entradas multimodais, interações de múltiplas voltas, agentes de uso de ferramentas ou modelos com políticas de segurança dinâmicas.
• Avaliação de Defesa: O trabalho não inclui experimentos do lado da defesa. Trabalhos futuros são necessários para avaliar salvaguardas contra atacantes adaptativos com memória persistente.
• Complexidade: O MemoAttack introduz complexidade de sistema adicional em comparação com baselines de busca em árvore mais simples devido à manutenção de unidades de memória estruturadas, livros de registro posteriores e transições de ciclo de vida.

Considerações Éticas:
Os autores enfatizam que o MemoAttack destina-se a testes de invasão controlados e avaliação de segurança para identificar modos de falha recorrentes e construir testes de regressão. Eles afirmam explicitamente que o lançamento de artefatos operacionais (prompts, logs, registros de memória) deve ser sanitizado e ter controle de acesso para prevenir uso indevido em prompts adversariais contra sistemas implantados.