Synchronized Logit Steering: Real-world Steganography

No zumbido silencioso de uma conversa digital, um novo tipo de linguagem secreta emergiu, uma que se esconde à vista de todos dentro das palavras geradas por inteligência artificial. Este campo, conhecido como esteganografia, é a arte antiga de ocultar uma mensagem de forma tão profunda que a própria existência da mensagem é obscurecida, deixando apenas a aparência de uma comunicação comum. Diferente da criptografia, que embaralha uma mensagem para torná-la ilegível para qualquer pessoa sem uma chave, a esteganografia visa tornar a mensagem invisível ao olho, embutindo-a dentro de um texto que pareça e soe completamente natural. Os grandes modelos de linguagem, os poderosos programas de computador que escrevem ensaios, resolveem problemas matemáticos e mantêm conversas, tornaram-se uma nova fronteira para esta prática. Esses modelos não apenas recuperam fatos; eles preveem a próxima palavra em uma frase com base em probabilidades, escolhendo entre uma gama de opções prováveis. Essa variabilidade inerente significa que, em quase todas as etapas da escrita, o modelo tem uma escolha entre várias palavras que fariam sentido. Pesquisadores há muito se perguntam se essas escolhas poderiam ser usadas para carregar informações ocultas sem que o leitor jamais soubesse que elas estavam lá.

Durante anos, as tentativas de esconder mensagens nesses textos gerados por IA enfrentaram um obstáculo significativo: a necessidade de um contexto secreto compartilhado. Imagine duas pessoas tentando enviar uma mensagem codificada usando um livro como chave; se elas não tiverem exatamente a mesma edição, ou se estiverem olhando para páginas diferentes, o código falha. Da mesma forma, métodos anteriores para esconder dados em texto de IA exigiam que o remetente e o receptor compartilhassem exatamente as mesmas instruções iniciais, ou prompt, para calcular a mesma lista de palavras prováveis. No mundo real, onde os sistemas de IA frequentemente buscam dados privados ou usam instruções internas ocultas que mudam de momento para momento, esse requisito tornou a técnica frágil e impraticável. Se o remetente e o receptor não começassem com o mesmo contexto idêntico, a mensagem oculta seria perdida ou corrompida. Uma equipe de pesquisadores da Algoverse AI desenvolveu agora uma solução que remove essa dependência inteiramente, permitindo que duas partes troquem mensagens ocultas mesmo que nunca vejam o mesmo ponto de partida.

Os pesquisadores chamam seu método de Direcionamento de Logit Sincronizado (Synchronized Logit Steering). Em vez de depender de um prompt inicial compartilhado, o sistema cria um entendimento compartilhado baseado no texto que já foi escrito. O processo começa com uma troca padrão de palavras. Uma vez que um número pequeno e acordado de palavras — especificamente quarenta tokens, que são as unidades básicas de texto que o modelo processa — é gerado, o remetente e o receptor usam esse texto existente como um novo ponto de referência compartilhado. Este "prompt de procuração" (proxy prompt) atua como um terreno comum. Como ambas as partes podem ver as mesmas palavras que já apareceram, elas podem calcular independentemente a exata mesma lista de próximas palavras prováveis, mesmo que suas instruções iniciais originais fossem completamente diferentes. Essa sincronização permite que concordem em um código oculto sem nunca precisarem compartilhar o contexto inicial secreto.

Para enviar uma mensagem, o remetente observa a lista de próximas palavras prováveis geradas por essa referência compartilhada. Eles então selecionam uma palavra específica não apenas porque ela se ajusta à frase, mas porque sua posição nessa lista corresponde a um pedaço dos dados ocultos. Por exemplo, se a mensagem oculta requer o número cinco, o remetente escolhe a quinta palavra mais provável da lista. O receptor, vendo a mesma palavra e conhecendo a mesma lista de probabilidades, pode simplesmente contar a posição dessa palavra para recuperar o número cinco. Isso acontece repetidamente, com o sistema verificando a "entropia", ou a quantidade de incerteza, no texto para garantir que a escolha das palavras permaneça natural. O sistema só esconde dados quando o modelo está incerto o suficiente para que a escolha de uma palavra menos comum não soe estranha ou robótica.

A equipe testou este método em uma ampla variedade de tarefas, incluindo conversas gerais, raciocínio matemático complexo e problemas de engenharia de software. Eles descobriram que, uma vez estabelecidas as quarenta palavras iniciais, a diferença estatística entre o texto gerado com uma mensagem oculta e o texto normal tornou-se negligenciável. Em termos técnicos, a divergência entre os dois tipos de texto caiu abaixo de um limiar crítico, o que significa que as mensagens ocultas eram estatisticamente indistinguíveis da escrita comum. Os pesquisadores também descobriram que, ao repetir este processo em rajadas, poderiam aumentar significativamente a quantidade de informação escondida. Sua configuração mais eficaz, que chamam de rajada periódica (periodic burst), permitiu embutir aproximadamente dez vezes mais dados do que as tentativas anteriores de mensagem única, alcançando uma densidade de 0,20 bits por token. Isso significa que, para cada palavra que a IA escreveu, uma pequena fração de um bit de informação secreta foi incorporada com sucesso sem alterar o fluxo da conversa.

Apesar do sucesso do método, os pesquisadores notaram uma compensação (trade-off) quando as mensagens ocultas eram compactadas em tarefas complexas. Quando o sistema tentava esconder dados dentro de raciocínio matemático ou código de software, a precisão das respostas da IA caía ligeiramente. Isso sugere que forçar o modelo a escolher palavras específicas para carregar uma mensagem pode, às vezes, desviá-lo do caminho estreito da lógica necessário para problemas difíceis. Os pesquisadores propõem que, em aplicações do mundo real, o sistema deve ser inteligente o suficiente para reconhecer quando está em um modo técnico e parar de esconder mensagens, reservando a técnica para partes mais conversacionais ou descritivas do texto. Essa abordagem adaptativa preservaria a qualidade do raciocínio da IA enquanto ainda permitiria a comunicação oculta em contextos mais seguros.

As implicações deste trabalho são duplas. Por um lado, demonstra uma maneira robusta de marcar a água (watermark) de conteúdo de IA ou verificar a origem do texto sem precisar de uma chave secreta compartilhada, o que poderia ser útil para proteger a propriedade intelectual. Por outro lado, destaca uma vulnerabilidade na forma como os sistemas de IA se comunicam, mostrando que agentes poderiam potencialmente coordenar ou exfiltrar dados sem supervisão humana. Os pesquisadores enfatizam que entender como esses canais ocultos são construídos é o primeiro passo para construir defesas contra eles. Eles sugerem que sistemas de segurança futuros poderiam monitorar padrões incomuns nas escolhas de palavras ou interromper as assinaturas estatísticas que tornam essa sincronização possível. Em última análise, o estudo confirma que a capacidade de esconder mensagens em texto de IA não é apenas uma possibilidade teórica, mas uma realidade prática, que opera silenciosamente dentro do fluxo natural da linguagem, esperando para ser descoberta por aqueles que sabem como olhar.