Guards de modelos de visão-linguagem ainda falham contra jailbreaks codificados, mesmo com defesa amplificada
Um novo artigo expõe o "decode gap": classificadores de segurança para modelos de visão-linguagem julgam a forma superficial de uma solicitação, não seu significado real, permitindo que pedidos nocivos disfarçados em lógica formal, linguagens raras, código ou imagens de texto escapem da moderação. Os autores propõem um amplificador que tenta neutralizar esse desvio antes do guard atuar, mas mostram que mesmo a melhor combinação ainda deixa 63-65% dos ataques passarem, e o remédio para isso dispara recusas indevidas em pedidos legítimos.
O "decode gap" é a lacuna entre o que um classificador de segurança (guard) consegue detectar e o que realmente significa uma solicitação. Como esses guards operam sobre a forma de superfície do texto ou imagem recebida, um pedido malicioso reescrito como notação de teoria dos conjuntos, lógica formal, uma linguagem pouco comum, um trecho de código ou até uma imagem contendo texto renderizado consegue contornar o filtro que bloquearia o mesmo pedido em linguagem simples.
A defesa proposta é um amplificador "guard-agnostic", ou seja, que funciona independentemente de qual classificador esteja em uso: antes de o guard analisar a entrada, o sistema tenta recuperar e decodificar o conteúdo real — transcrevendo texto presente em imagens e reescrevendo formulações codificadas de volta para linguagem natural — de modo que o guard avalie o payload verdadeiro da solicitação, não sua casca ofuscada. Uma camada adicional, chamada "reguard", reexamina essa versão decodificada para reforçar ainda mais a moderação.
Os pesquisadores testaram esse esquema contra um conjunto de onze ataques distintos combinados (o pior cenário realista para um atacante determinado), rodando a avaliação sobre cinco guards diferentes e dois modelos de visão-linguagem alvo. O resultado central é o que chamam de "teto empírico de segurança-utilidade": mesmo sem qualquer defesa, o ensemble de ataques quebra 89-91% dos comportamentos nocivos testados; com o melhor guard somado ao amplificador, ainda restam 63-65% de sucesso do ataque — uma melhoria real, mas limitada.
O ponto mais preocupante para aplicações práticas é o trade-off exposto pela camada reguard: ao fechar boa parte da lacuna residual de segurança, ela eleva a taxa de recusa de pedidos benignos para 81-92% nos guards mais bem calibrados — tornando o sistema impraticável para uso legítimo. O único guard mais permissivo que mantém usabilidade aceitável nunca chega a um patamar de segurança implantável, com 48% de taxa de sucesso do ataque. Em suma, nenhuma configuração testada consegue simultaneamente baixa taxa de sucesso de ataque e baixa recusa excessiva, reforçando que moderação de conteúdo multimodal continua sendo um problema não resolvido de equilíbrio entre segurança e utilidade.