A-MESS propõe avaliar ataques de jailbreak pela utilidade que geram para o red teaming, não pela taxa de sucesso
O framework A-MESS (Minimal Effective Attack-Subset Selection) usa uma métrica batizada AttackSHAP, baseada em valores de Shapley, para medir o quanto cada ataque de jailbreak contribui de fato para melhorar a segurança de um modelo quando usado como dado de red-teaming em treinamento de segurança — em vez de medir só sua taxa de sucesso em quebrar o modelo (ASR). Os autores mostram que rankings por ASR se alinham fracamente com essa utilidade "defender-centric", e que otimizar diretamente por utilidade produz ganhos de segurança maiores do que escolher ataques pela agressividade.
A crítica de fundo do artigo é metodológica e afeta boa parte da literatura de jailbreak: pesquisadores tendem a comparar técnicas de ataque pela taxa de sucesso (Attack Success Rate, ASR) contra um modelo-alvo, como se um ataque "melhor" fosse simplesmente aquele que quebra as defesas com mais frequência. Os autores argumentam que essa é uma métrica centrada no atacante e que ela não captura o que realmente importa para quem defende: um jailbreak que quebra o modelo de uma forma pouco informativa pode contribuir muito pouco para o treinamento de segurança subsequente, enquanto um ataque com ASR mais modesto pode expor uma classe de falha genuinamente nova e valiosa para corrigir.
Para resolver isso, o A-MESS (Minimal Effective Attack-Subset Selection) trata a seleção de ataques de jailbreak como um problema de atribuição: dado um conjunto de ataques candidatos e observações de utilidade de subconjuntos (como esses ataques, usados como dados de red-teaming, melhoram a segurança pós-treino do modelo), o framework estima o AttackSHAP — uma pontuação baseada em valores de Shapley, o mesmo conceito da teoria dos jogos usado em interpretabilidade de ML — para atribuir a cada ataque individual sua contribuição marginal esperada para essa utilidade final, mesmo sob observação em caixa-preta.
A partir dessa atribuição, o A-MESS seleciona subconjuntos compactos de ataques sob um orçamento definido pelo usuário (por exemplo, "quero treinar com apenas 50 exemplos de jailbreak, quais escolher"), usando otimização gulosa ou baseada em modelo substituto (surrogate) para não precisar avaliar todas as combinações possíveis, que cresceriam exponencialmente.
O achado empírico mais importante é justamente a fraca correlação entre ranking por ASR e ranking por utilidade defensiva: os ataques mais "fortes" em quebrar o modelo não são consistentemente os mais úteis para blindar o próximo treino de segurança. Isso tem implicação direta para equipes de safety e red-teaming de LLMs: currar datasets de red-teaming otimizando só para agressividade do ataque pode estar desperdiçando orçamento de anotação e compute em exemplos que, apesar de bem-sucedidos, ensinam pouco ao modelo sobre como generalizar defesas. O A-MESS oferece uma forma sistemática de priorizar exemplos pela contribuição real esperada, e não pela espetacularidade do bypass.