Pesquisadores demonstram transferência de raciocínio nocivo entre modelos para criar jailbreaks reutilizáveis
Um novo estudo mostra que traços de chain-of-thought extraídos de modelos comprometidos podem ser transplantados para outros modelos, elevando taxas de resposta nociva acima de 80% nos alvos mais vulneráveis. A técnica também permite destilar padrões recorrentes de raciocínio malicioso em prompts de sistema reutilizáveis, superando o transplante direto em até 10x, inclusive contra o GPT-4.1.
O trabalho, assinado por seis pesquisadores, investiga se os traços de raciocínio (chain-of-thought, CoT) gerados por modelos de linguagem já comprometidos — um organismo com desalinhamento emergente e outro jailbroken com recusa removida — podem ser reaproveitados como ataque contra outros modelos. Os autores transplantaram esses CoTs nocivos para 29 modelos open-source e 5 modelos fechados.
O transplante direto do raciocínio nocivo elevou a taxa de respostas nocivas para mais de 80% nos modelos open-source mais vulneráveis, enquanto CoTs semanticamente incompatíveis com o alvo falharam por completo — mostrando que o que transfere não é qualquer texto de raciocínio, mas um padrão semântico específico. Usando mineração de conceitos (LLooM), os pesquisadores identificaram quatro componentes recorrentes desse raciocínio nocivo: proceduralização, desacoplamento ético, evasão e enquadramento da vulnerabilidade do alvo. Ao destilar esses padrões em prompts de sistema reutilizáveis, obtiveram jailbreaks de caixa-preta que superaram o transplante direto de CoT em até uma ordem de grandeza em modelos fortemente alinhados, incluindo uma melhoria de 10x no AdvBench contra o GPT-4.1. Modelos com raciocínio explícito (reasoning models) mostraram-se mais de duas vezes mais vulneráveis que os demais, e guardrails de saída como o Llama-Guard-3 frequentemente não detectaram as gerações nocivas resultantes.
O resultado prático mais relevante é que segurança avaliada apenas na resposta final é insuficiente: o raciocínio intermediário carrega e propaga comportamento nocivo mesmo quando a resposta de superfície parece adequada, e esse raciocínio pode ser extraído, generalizado e reempacotado como ataque reutilizável contra modelos totalmente diferentes do original. Isso é particularmente preocupante à medida que modelos de raciocínio explícito se tornam padrão de mercado, já que o próprio mecanismo que melhora capacidade (CoT mais longo e detalhado) parece também ampliar a superfície de ataque. Os autores argumentam que defesas futuras precisam avaliar o contexto de raciocínio, não apenas a saída final — o que implica repensar tanto o treinamento de segurança quanto os classificadores de moderação usados hoje, que em geral não inspecionam o CoT.