Resumo Técnico: THRD – Um Framework de Defesa Multiturnos Livre de Treinamento

1. Declaração do Problema

Os Grandes Modelos de Linguagem (LLMs) permanecem vulneráveis a ataques de jailbreak de múltiplos turnos (multi-turn), que exploram a dinâmica conversacional para erodir gradualmente as salvaguardas de segurança. Diferente dos ataques de turno único, que dependem de prompts explícitos e projetados, os ataques de múltiplos turnos (ex: Crescendo, X-Teaming, Tempest) utilizam escalonamento gradual, coordenação entre turnos e respostas intermediárias aparentemente benignas para direcionar o modelo em direção à conformidade prejudicial.

As defesas existentes enfrentam duas limitações primárias neste contexto:

1. Métodos baseados em treinamento (ex: SFT, RLHF) lutam para cobrir o espaço combinatório e adaptativo das trajetórias de interação sem degradar a utilidade do modelo.
2. Defesas em tempo de inferência frequentemente dependem de análise de turno único, avaliando cada entrada isoladamente. Isso falha em capturar como o risco se acumula ao longo do histórico de uma conversa, onde turnos individuais podem parecer benignos enquanto o contexto agregado desloca o modelo para resultados prejudiciais.

O desafio central é que o comportamento de segurança em interações de múltiplos turnos é dependente da trajetória: o histórico do diálogo molda continuamente o contexto de condicionamento do modelo, tornando a avaliação isolada por turno insuficiente.

2. Metodologia: O Framework THRD

Os autores propõem o THRD, o primeiro framework livre de treinamento projetado para modelar explicitamente o acúmulo de risco temporal para a defesa de jailbreak de múltiplos turnos. O THRD opera em tempo de inferência e decompõe a avaliação de segurança em quatro módulos integrados:

A. Avaliador de Risco por Turno (TRA - Turn-level Risk Assessor)

• Função: Estima o risco instantâneo da entrada atual ($R_i$).
• Mecanismo: Adota um paradigma de análise de dois estágios para capturar sinais semânticos e estruturais. Ele atribui uma pontuação ordinal $R_i \in [1, 5]$.
• Calibragem: Para evitar falsos positivos de palavras-chave benignas (ex: "kill" em um contexto de processos), os autores exploram variantes de prompt que deslocam o foco do conteúdo da palavra-chave para a estrutura da requisição e exigem evidências estruturais concretas antes de atribuir alto risco.

B. Analisador de Contexto Histórico (HCA - Historical Context Analyzer)

• Função: Infere a intenção cumulativa analisando a conversa como uma interação ordenada temporalmente.
• Mecanismo: Analisa a estrutura da conversa através de três dimensões:
  1. Forma conversacional: Configurações de role-play e enquadramento (framing).
  2. Padrões de evolução: Progressão da sensibilidade do tópico.
  3. Completude da cadeia de ataque: Se os turnos anteriores formam uma progressão em direção a objetivos prejudiciais.
• Saída: Um julgamento binário $J_h \in \{SAFE, UNSAFE\}$ indicando se a trajetória exibe intenção maliciosa.

C. Avaliador de Resposta (RE - Response Evaluator)

• Função: Avalia se uma resposta gerada (do turno anterior) pode facilitar danos subsequentes, mesmo que tecnicamente cumpra a política.
• Motivação: Aborda o "gap discriminador-gerador", onde os modelos identificam conteúdo prejudicial melhor durante a avaliação do que durante a geração.
• Mecanismo: Avalia a segurança do conteúdo, a sensibilidade da informação e a conformidade de limites. Opera post-hoc (após a emissão da resposta) para alimentar a decisão do próximo turno.
• Saída: Um julgamento binário $J_r \in \{MAY\_FACILITATE, WILL\_NOT\_FACILITATE\}$.

D. Módulo de Decisão

• Função: Integra $R_i$, $J_h$ e $J_r$ em um escore de risco evolutivo no tempo ($F(i)$) para determinar a estratégia de resposta (Normal, Controlada ou Recusa).
• Fórmula de Pontuação:
  $$F(i) = R_i + \Lambda(R_i) \cdot \Omega(\hat{J}^{(i-1)}_h, \hat{J}^{(i-1)}_r)$$
  • $\Lambda(R_i)$: Uma função de atenuação que modula a influência do sinal histórico com base na severidade atual.
  • $\Omega$: Uma função composta que agrega riscos históricos e de resposta (usando Norma L2).
  • Ajuste de Tendência: Adiciona uma penalidade se os escores de risco exibirem um aumento monotônico através de turnos consecutivos.
• Rejeição Persistente: Uma vez que uma recusa de alto risco é acionada, todos os turnos subsequentes são recusados incondicionalmente. Isso evita que atacantes se recuperem via follow-ups evasivos, priorizando a segurança sobre a continuidade da interação.

3. Principais Contribuições

1. Modelagem de Risco Temporal: O THRD é o primeiro framework livre de treinamento que modela explicitamente como o risco se acumula através dos turnos de conversa, indo além da análise isolada de turno único.
2. Arquitetura Modular: Introduz um framework unificado em tempo de inferência combinando risco instantâneo (TRA), intenção cumulativa (HCA) e detecção de saída facilitadora (RE).
3. Eficiência Livre de Treinamento: O framework não requer retreinamento de modelo, baseando-se em vez disso em julgamentos semânticos baseados em prompts e agregação leve de escores.
4. Validação Empírica: Experimentos extensos demonstram que o THRD defende efetivamente contra ataques de múltiplos turnos de última geração enquanto preserva a utilidade do modelo.

4. Resultados Experimentais

O framework foi avaliado no Qwen2.5-7B e Llama-3-8B contra ataques X-Teaming (colaboração multi-agente) e Tempest (baseado em busca em árvore).

• Taxa de Sucesso de Ataque (ASR): O THRD reduziu o ASR para 0,2–4,0% em ambos os modelos e tipos de ataque.
  • Comparação: Defesas de turno único de baseline (PROACT, SAGE) falharam significativamente contra o X-Teaming (ASR > 47% para PROACT, >86% para SAGE no Qwen) ou incorreram em severa perda de utilidade.
• Utilidade do Modelo: O THRD preservou a utilidade dentro de uma degradação de 1,5% nos benchmarks MMLU e GSM8K, superando o SAGE que sofreu quedas de >11%.
• Sobre-recusa (Over-Refusal): O THRD manteve taxas aceitáveis de sobre-recusa (12,4% no Qwen, 18,8% no Llama), significativamente melhor que o SAGE (até 99,6%).
• Robustez de Turno Único: O THRD alcançou 0% de ASR contra o ataque de turno único AutoDAN, confirmando que mecanismos de múltiplos turnos não comprometem a defesa de turno único.
• Estudos de Ablação:
  • Remover o TRA ou o HCA causou a maior degradação de desempenho (~24% de aumento no ASR), confirmando que as análises de turno atual e de múltiplos turnos não são redundantes.
  • Remover a Rejeição Persistente aumentou o ASR de 1,59% para 5,15%, validando a necessidade de bloquear tentativas de recuperação.
  • Sensibilidade à Ordem do Histórico: Embaralhar o histórico da conversa aumentou o ASR, confirmando que a ordenação temporal é crítica para detectar padrões de escalonamento.

5. Significância e Alegações

O artigo afirma que o THRD aborda uma lacuna crítica na segurança de LLMs: a incapacidade das defesas existentes de detectar ataques que dependem de acumulação gradual e entre turnos, em vez de violações explícitas de turno único.

• Necessidade de Análise de Múltiplos Turnos: A análise dos primeiros gatilhos de rejeição revela que mais de 70% dos ataques de múltiplos turnos exigem o Turno 2 ou posterior para serem detectados, pois os atacantes projetam deliberadamente o Turno 1 para parecer benigno. Isso valida a necessidade de agregação temporal explícita.
• Resolução de Trade-off: O THRD demonstra que é possível alcançar um forte desempenho de defesa contra ataques adaptativos de múltiplos turnos sem o custo pesado de retreinamento ou a severa degradação de utilidade vista em outros métodos de tempo de inferência.
• Limitações: Os autores reconhecem que o HCA é o principal gargalo computacional (respondendo por ~63–77% da latência) e que o framework depende das capacidades de raciocínio do modelo avaliador subjacente. Eles observam que ataques futuros otimizados especificamente contra os padrões de prompting do THRD ou ataques que distribuam a intenção sobre trajetórias substancialmente mais longas podem representar desafios.

Em conclusão, o THRD fornece uma abordagem robusta e livre de treinamento para assegurar LLMs contra a evolução das ameaças de jailbreak de múltiplos turnos, tratando a segurança como uma propriedade dependente da trajetória, em vez de um filtro estático de entrada.