DARWIN faz ataque e defesa de jailbreak evoluirem continuamente em loop competitivo
O DARWIN trata jailbreak como um processo evolutivo aberto, no qual um adversario (DARWIN-Attack) descobre, muta e seleciona estrategias de ataque continuamente, enquanto uma defesa (DARWIN-Guard) treina de forma online sobre os exemplos adversariais gerados por esse adversario. O ataque atinge quase 100% de sucesso contra alguns modelos de fronteira e mais de 90% contra o GPT-5.5, enquanto a defesa alcanca 91,6% de recall medio de conteudo inseguro em 12 benchmarks.
A maior parte da pesquisa de seguranca em LLM ainda trata jailbreak como um problema estatico: vulnerabilidades sao avaliadas com um conjunto fixo de ataques, e guardrails sao treinados sobre um dataset fixo de prompts maliciosos. O problema e que adversarios reais nao sao estaticos -- eles evoluem estrategias continuamente para escapar de defesas conhecidas, o que faz avaliacoes estaticas perderem validade rapidamente apos publicadas.
O DARWIN-Attack formaliza esse processo evolutivo: ele coleta estrategias de ataque de fontes externas diversas, gera novas variantes via autorreflexao e operadores geneticos (mutacao, selecao), e retem as estrategias mais eficazes com base no desempenho observado contra LLMs alinhados. Durante a execucao, o adversario seleciona e combina adaptativamente estrategias evoluidas de acordo com o feedback recebido do modelo-alvo e de guardrails presentes. Do lado defensivo, o DARWIN-Guard implementa treinamento adversarial online, aprendendo iterativamente com as amostras adversariais que o proprio DARWIN-Attack vai gerando -- um ciclo fechado de ataque-defesa. Para nao sacrificar utilidade, o treinamento combina consultas maliciosas com consultas benignas disfarcadas de forma semelhante, incentivando o modelo a identificar a intencao subjacente em vez de reconhecer apenas padroes superficiais de ataque.
Os resultados mostram a escala do problema: contra modelos de fronteira e guardrails avaliados, o DARWIN-Attack atinge taxas de sucesso proximas de 100% em alguns alvos e acima de 90% contra o GPT-5.5, um numero alto mesmo para o padrao ja preocupante da literatura de jailbreak. Do lado defensivo, o DARWIN-Guard atinge 91,6% de recall medio de conteudo inseguro em 12 benchmarks de seguranca, superando guardrails fortes de mercado, mantendo quase 100% de aprovacao em datasets benignos.
Na pratica, o framework demonstra por que guardrails treinados uma unica vez sobre um dataset estatico tendem a se tornar obsoletos: um adversario que evolui estrategias continuamente eventualmente encontra variantes fora da distribuicao vista em treinamento. Isso empurra a industria de seguranca de LLM na direcao de defesas que tambem sao continuamente retreinadas em loop fechado contra ataques adaptativos, em vez de auditorias pontuais de seguranca.