Ataque BSB explora consistência temporal para fazer jailbreak em modelos comerciais de texto-para-vídeo como Sora e Veo
O framework BSB (Between Safe Boundaries) codifica intenção nociva não em um único prompt, mas na transição entre dois estados individualmente inofensivos, explorando a consistência temporal que modelos de texto-para-vídeo precisam manter entre quadros para produzir vídeo coerente. Testado contra Veo 3.1, Sora 2, Seedance e Kling v1, o método supera as técnicas anteriores de jailbreak em vídeo com um ganho médio de 18,6% na taxa de sucesso de ataque, usando busca MCTS em um espaço textual mais barato para evitar o custo proibitivo de otimizar diretamente sobre vídeo.
Modelos de texto-para-vídeo (T2V) herdaram, até aqui, técnicas de jailbreak adaptadas de ataques contra modelos de texto-para-imagem — mas o artigo argumenta que essa herança direta ignora uma propriedade específica de geração de vídeo que pode ser explorada: a consistência temporal, ou seja, a necessidade do modelo de manter continuidade visual plausível entre quadros consecutivos para que o vídeo pareça coerente ao espectador.
A ideia central do BSB é enganar o filtro de segurança do modelo definindo o conteúdo nocivo não como um único prompt explícito (que seria bloqueado), mas como o estado de transição entre dois "estados de fronteira" (boundary states) que, isoladamente, são inofensivos e passariam por qualquer checagem de segurança. Ao pedir ao modelo para gerar a transição/interpolação entre esses dois pontos, o BSB mira em pares cuja interpolação tende a produzir quadros intermediários que violam as políticas de segurança — mesmo que início e fim do vídeo sejam individualmente aceitáveis.
O desafio prático de um ataque assim é o custo: avaliar exaustivamente todos os pares candidatos de estados diretamente no espaço de vídeo é computacionalmente proibitivo, já que cada avaliação exige de fato gerar o vídeo. O BSB contorna isso rodando Monte Carlo Tree Search (MCTS) em um espaço textual proxy muito mais barato, usando avaliações esparsas em nível de vídeo apenas para calibrar periodicamente os resultados da busca textual — uma estratégia de otimização em duas camadas que reduz drasticamente o número de consultas custosas necessárias, tornando o ataque viável em cenário black-box realista contra produtos comerciais.
O fato de o método ter sido validado contra quatro sistemas comerciais amplamente usados — Veo 3.1 (Google), Sora 2 (OpenAI), Seedance e Kling v1 —, com ganho médio de 18,6% de taxa de sucesso sobre a melhor baseline anterior, eleva a relevância prática do achado: não se trata de um ataque teórico contra um modelo acadêmico isolado, mas de uma técnica testada e eficaz contra produtos de geração de vídeo em produção usados por milhões de pessoas. Para times de safety desses produtos, o resultado indica que filtros de segurança pensados por prompt/frame isolado não são suficientes quando o próprio mecanismo de geração (a necessidade de coerência temporal) pode ser cooptado como canal de ataque — a defesa provavelmente precisa avaliar sequências e transições, não só pontos de início e fim.