🤖 machine learning

On the Limits of Support-Preserving Alignment and Bounded Filtering

Este artigo demonstra, teórica e empiricamente, que esquemas de alinhamento que preservam as distribuições dos modelos internos, quando combinados com filtros de segurança limitados, não podem eliminar completamente as saídas prejudiciais de grandes modelos de linguagem, conforme evidenciado por um persistente piso empírico de danos através de vários modelos e orçamentos de consultas.

Autores originais: Aryan Dutt, Rui Mao, Anupam Chattopadhyay

Publicado 2026-07-22

📖 6 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Aryan Dutt, Rui Mao, Anupam Chattopadhyay

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está tentando ensinar um robô superinteligente e incrivelmente criativo a ser um bom cidadão. Você não quer lobotomizá-lo ou deletar sua memória de como o mundo funciona; você apenas quer moldar sua personalidade para que seja menos propenso a dizer algo maldoso ou perigoso. Este é o mundo dos Modelos de Linguagem de Grande Escala (LLMs), os cérebros de IA por trás de muitos dos chatbots que usamos hoje. Cientistas desenvolveram um método chamado alinhamento, que é como dar ao robô um novo conjunto de preferências. Em vez de apagar sua capacidade de falar sobre tópicos perigosos, o robô aprende que esses tópicos são "menos divertidos" de se falar, então ele escolhe respostas mais seguras na maioria das vezes.

No entanto, há um porém. Mesmo que o robô prefira ser seguro, ele ainda sabe como ser perigoso. Para garantir que ele não escorregue, colocamos um "filtro de segurança" à frente dele — um segurança na porta da boate. Esse segurança é rápido e barato de operar, mas não consegue pensar tão profundamente ou tão lentamente quanto o próprio robô. A grande questão para os cientistas é: se mantivermos o céreamente do robô exatamente o mesmo (apenas moldado um pouco) e dependermos de um segurança rápido e limitado para pegar as coisas ruins, poderemos algum dia tornar o robô 100% seguro? Ou existe um vazamento minúsculo e invisível que simplesmente não conseguimos estancar?

O Grande Vazamento de Segurança da IA: Por que "Bom o Suficiente" Pode Não Ser Bom o Suficiente

Neste artigo, os pesquisadores Aryan Dutt, Rui Mao e Anupam Chattopadhyay, da Universidade Tecnológica de Nanyang, decidiram testar os limites dessa configuração de segurança. Eles queriam saber se existe um "piso de dano" — um ponto onde, não importa o quanto você tente, você não consegue reduzir a taxa de respostas ruins para zero.

Pense no modelo de IA como uma biblioteca gigante contendo todas as histórias já escritas, incluindo algumas muito perigosas. O alinhamento é como colocar um adesivo de "Não Ler" nos livros perigosos. O bibliotecário (a IA) ainda tem os livros, mas lhe é dito para escolher os seguros primeiro. O filtro de segurança é um guarda de segurança que verifica os livros que o bibliotecário escolhe antes de você recebê-los. O problema é que o guarda de segurança é pago para ser rápido; eles só podem dar uma olhada em algumas páginas ou fazer algumas perguntas rápidas. Eles não podem ler o livro inteiro lentamente para encontrar uma armadilha escondida.

Os pesquisadores perguntaram: Se o bibliotecário ainda possui os livros perigosos (porque não os deletamos, apenas os tornamos menos propensos de serem escolhidos), e o guarda é rápido demais para pegar cada truque, podemos algum dia impedir que todos os livros ruins passem?

O Experimento: Levando o Segurança ao Limite

Para descobrir, a equipe montou um experimento massivo. Eles pegaram vários dos modelos de IA mais inteligentes disponíveis (incluindo modelos famosos como LLaMA e Nemotron) e os envolveram em diferentes tipos de "guardas de segurança".

Eles testaram três tipos de guardas:

O Guarda de Caixa Preta: Este guarda apenas procura por "palavras ruins" específicas ou padrões simples. É rápido, mas um pouco burro.
O Guarda de Caixa Branca: Este guarda é um pouco mais inteligente; ele observa o comprimento da resposta e o quão confiante a IA parece, além de verificar palavras ruins.
O Guarda de Consulta Estatística: Este guarda é como um detetive que faz a mesma pergunta à IA várias vezes para sentir a "vibe" antes de tomar uma decisão.

Em seguida, eles alimentaram esses modelos de IA com perguntas capciosas projetadas para enganá-los para darem conselhos perigosos, como como hackear um computador ou construir uma arma. Eles fizeram isso enquanto aumentavam o "orçamento" para os guardas — basicamente, permitiram que os guardas fizessem mais perguntas ou verificassem mais opções antes de dizer "sim" ou "não".

A Descoberta: A Parede Que Não Quebra

Os resultados foram surpreendentes e um pouco preocupantes.

Conforme os pesquisadores davam aos guardas mais tempo e mais perguntas para fazer (aumentando o orçamento de 1 para 64 verificações), o número de respostas perigosas diminuiu. Os guardas ficaram melhores em pegar o conteúdo ruim óbvio. Mas aqui está o detalhe: a taxa de respostas ruins nunca chegou a zero.

Não importava o quanto aumentassem o orçamento, ou o quão inteligente fosse o guarda, ou o quão bem alinhada estivesse a IA, as respostas perigosas pararam de diminuir e atingiram uma linha reta horizontal. Era como tentar esvaziar uma banheira com um copo pequeno; eventualmente, você simplesmente não consegue tirar as últimas gotas porque o copo é pequeno demais para pegar a água que está espirrando nos cantos.

Os pesquisadores encontraram este "piso de dano" em cada um dos modelos testados, desde os menores até os massivos e superinteligentes. Mesmo os modelos mais bem alinhados, que geralmente se recusam a responder perguntas ruins, ainda falharam ocasionalmente quando as perguntas eram astutas o suficiente.

Por Que Isso Acontece?

O artigo sugere que isso acontece devido a uma incompatibilidade na "profundidade de pensamento". O modelo de IA é como um pensador profundo que pode imaginar cenários complexos de múltiplos passos. O filtro de segurança, no entanto, é forçado a ser raso e rápido para acompanhar o chat em tempo real.

Imagine um jogo de esconde-esconde. A IA (quem se esconde) tem permissão para pensar por horas para criar um esconderijo perfeito. O filtro (quem procura) só tem permissão para olhar por 5 segundos. Mesmo que quem se esconde tente ser bom, sempre haverá alguns lugares que são tão habilmente escondidos que o buscador de 5 segundos não os encontrará. Porque a IA ainda sabe como se esconder nesses lugares (o "suporte" do comportamento perigoso ainda está lá), e o buscador não consegue olhar tempo suficiente para encontrá-los todos, algumas respostas ruins sempre escapam.

O Que Isso Significa para o Futuro

Os autores são cuidadosos ao dizer que isso não significa que a IA seja sem esperança ou que devamos desistir. Significa apenas que a forma atual de fazer as coisas — ajustar as preferências da IA e adicionar um filtro rápido por cima — tem um limite rígido. Você pode tornar a IA mais segura e mais segura, mas talvez nunca alcance a "segurança perfeita" com este método específico.

Isso sugere que, para realmente resolver o problema, talvez precisemos mudar o próprio céreamente da IA, não apenas suas preferências ou adicionar um bouncer melhor. Talvez precisemos ensinar a IA a não saber certas coisas perigosas, em vez de apenas esperar que ela não escolha dizer essas coisas. Até descobrirmos isso, sempre haverá um vazamento de risco pequeno e persistente que simplesmente não conseguimos estancar apenas com filtros.

Resumo Técnico: Sobre os Limites do Alinhamento de Preservação de Suporte e da Filtragem Limitada

Declaração do Problema
O artigo investiga uma limitação fundamental nos atuais pipelines de segurança de Grandes Modelos de Linguagem (LLMs): se esquemas de alinhamento que remodelam as distribuições de saída, quando combinados com filtros de segurança computacionalmente limitados, podem levar a probabilidade de comportamento nocivo a zero. Embora pesquisas recentes indiquem que comportamentos nocivos podem persistir sob o alinhamento baseado em preferências e que a filtragem externa enfrenta dificuldades computacionais em cenários de pior caso, permanece incerto se pipelines práticos — que amplamente preservam as representações internas e as capacidades do modelo — podem eliminar totalmente o comportamento nocivo ou apenas suprimir suas formas mais visíveis. Os autores postulam que pode haver um "piso de dano" intrínseco para pipelines de alinhamento que mantêm o modelo base fixo enquanto o envolvem em filtros de segurança com orçamentos estritos de latência e computação.

Metodologia
O estudo formaliza o problema de segurança utilizando um framework de operadores de alinhamento de preservação de suporte combinados com algoritmos de filtragem limitados.

Framework Teórico: Os autores definem o alinhamento como um processo de reponderação de probabilidades sobre um suporte comportamental fixo (ou seja, $P_\theta(y|x) > 0 \implies P_{\theta'}(y|x) > 0$ ). Sob este regime, saídas nocivas permanecem possíveis, embora com menor probabilidade. Eles analisam a capacidade de filtros limitados (caixa-preta, caixa-branca e consulta estatística) de aproximar um eliminador ideal que remova toda a massa nociva. Argumentos teóricos sugerem que, sob estas restrições, a filtragem limitada pode falhar em eliminar todas as saídas nocivas suportadas pela distribuição do modelo base devido a barreiras computacionais e de informação.
Pipeline Empírico: Os autores construíram um pipeline de avaliação envolvendo LLMs reais (acessados via OpenRouter) com três classes de filtros limitados:
1. Filtro de caixa-preta: Seleciona amostras de baixo risco usando uma pontuação de risco baseada em palavras-chave leve.
2. Filtro inspirado em caixa-branca: Combina pontuação de risco com heurísticas de comprimento e confiança.
3. Filtro de consulta estatística (SQ): Calibra um limiar de risco a partir de consultas repetidas antes de aceitar as saídas.
4. Guarda-corpo em camadas (Layered guardrail): Um baseline que combina detecção de padrões de exploração, análise procedimental e autocrítica.
Avaliação: O sistema foi testado em prompts adversariais extraídos de cenários de cibersegurança curados e do conjunto de dados PKU-SafeRLHF. O estudo variou os orçamentos de consulta ( $q \in \{1, 4, 16, 64\}$ ) através de uma gama de modelos de pesos abertos e hospedados de última geração (incluindo variantes de LLaMA-3.2, Nemotron e modelos de fronteira como GPT-5 e Claude Opus 4.5). A nocividade foi medida usando um predicado transparente baseado em palavras-chave.

Principais Contribuições

Framework Empírico Unificado: O artigo fornece um framework reproduzível para medir os "pisos de dano" de LLMs reais sob filtros de segurança limitados, utilizando prompts, modelos e métricas abertamente disponíveis.
Evidência Transversal de Modelos: Apresenta evidências de que o alinhamento de preservação de suporte combinado com filtros computacionalmente limitados deixa uma probabilidade não nula de comportamento nocivo, mesmo à medida que os filtros são fortalecidos e os orçamentos de consulta são aumentados.
Ponte Teórico-Prática: O trabalho conecta resultados de impossibilidade de alto nível no alinhamento (em relação à preservação de suporte e inferência limitada) à arquitetura concreta de stacks de LLM implantadas, sugerindo que fechar o hiato de segurança residual pode exigir métodos que alterem as representações ou o raciocínio do modelo, em vez de depender apenas da remodelagem da probabilidade ao nível da saída.

Resultados
Os experimentos produzem três descobertas primárias correspondentes às questões de pesquisa:

RQ1 (Convergência): O aumento do orçamento de consulta dos filtros de segurança limitados reduz consistentemente a probabilidade medida de saídas nocivas, mas a taxa estagna acima de zero em vez de convergir para zero. Este comportamento de saturação é observado em todos os modelos e classes de filtros.
RQ2 (Arquitetura de Filtro): Embora diferentes arquiteturas de filtro (caixa-preta, caixa-branca, SQ) produzam diferentes melhorias quantitativas (por exemplo, filtros de caixa-preta frequentemente mostraram a redução mais forte para um determinado orçamento), nenhum alcançou dano zero. Todos exibiram o mesmo padrão qualitativo de redução inicial rápida seguida por um ponto de saturação não nulo.
RQ3 (Consistência do Modelo): Os pisos de dano não nulos persistem através de diversas famílias de modelos, escalas de parâmetros (de 3B a 120B+) e paradigmas de alinhamento (RLHF, Constitutional AI, RLAIF, baseados em raciocínio). Modelos maiores e mais intensamente ajustados para segurança alcançaram pisos de dano absoluto mais baixos, mas ainda exibiram saturação acima de zero.

Significância e Alegações
O artigo afirma identificar condições estruturais sob as quais a filtragem externa e a remodelagem de probabilidade sozinhas não podem garantir a segurança universal. Especificamente, quando o alinhamento preserva o suporte comportamental do modelo e os filtros são computacionalmente limitados, uma massa nociva residual pode permanecer.

Os autores não alegam que o alinhamento é impossível ou que os sistemas atuais são inevitavelmente inseguros.
Em vez disso, eles argumentam que o "piso de dano" é uma consequência da disparidade entre as profundas capacidades de raciocínio do gerador e a análise rasa e limitada do filtro.
A significância reside em sugerir que o alinhamento robusto futuro pode exigir métodos que mudem o que o modelo pode representar ou como ele raciocina, ou que exponham invariantes relevantes ao dano de forma mais direta aos componentes de segurança, em vez de depender apenas de filtros externos mais fortes ao redor de um gerador essencialmente inalterado.

Os autores reconhecem limitações, observando que seus rótulos de nocividade dependem de predicados heurísticos em vez de avaliação humana e que os conjuntos de prompts não cobrem exaustivamente todas as estratégias adversariais. Assim, os pisos de dano medidos representam evidência de risco residual persistente sob os contextos avaliados, em vez de limites inferiores definitivos para todos os possíveis mecanismos de segurança.

O Grande Vazamento de Segurança da IA: Por que "Bom o Suficiente" Pode Não Ser Bom o Suficiente

O Experimento: Levando o Segurança ao Limite

A Descoberta: A Parede Que Não Quebra

Por Que Isso Acontece?

O Que Isso Significa para o Futuro

Mais como este