RoguePrompt combina cifras Vigenère e ROT13 para furar filtros de moderação de LLMs em até 94% dos casos
Pesquisadores apresentam o RoguePrompt, um pipeline de jailbreak que fragmenta um pedido proibido e aplica duas cifras clássicas em camada — Vigenère seguida de ROT13 — junto com instruções em linguagem natural para o próprio modelo reconstruir e executar o conteúdo original. Testado às cegas (apenas via API/interface) contra 313 prompts já bloqueados por moderação, o método furou os filtros em 93,9% dos casos, embora a reconstrução completa e a execução final do pedido tenham sucesso menor (79% e 70%, respectivamente). O resultado mostra que a maior fraqueza hoje está na moderação de entrada, não na capacidade do modelo de resistir ao pedido depois de decodificado.
O RoguePrompt parte de uma constatação simples: sistemas de moderação de LLM tendem a inspecionar o texto de entrada em busca de padrões associados a pedidos proibidos, mas raramente decodificam ativamente conteúdo cifrado antes de julgar se algo é seguro. O ataque explora exatamente essa lacuna.
O pipeline funciona em três etapas: o pedido proibido é dividido em partes; cada parte passa por uma cifra de Vigenère e, em seguida, por ROT13; e o prompt final entregue ao modelo inclui o texto duplamente cifrado mais instruções em linguagem natural pedindo para o próprio modelo decifrar as camadas e, depois, executar o que for reconstruído. Ou seja, o LLM-alvo faz o trabalho de decodificação por conta própria, dentro da própria conversa — algo que um filtro de entrada baseado em padrões de texto simples não enxerga, porque a entrada literal (o texto cifrado) não corresponde a nenhum padrão de conteúdo perigoso conhecido.
A contribuição mais útil do estudo, do ponto de vista defensivo, é medir separadamente cada estágio: 93,93% dos casos passam pela moderação sem serem sinalizados; desses, 79,02% o modelo consegue reconstruir corretamente o pedido original a partir das camadas de cifra; e, do total, 70,18% terminam com o modelo efetivamente executando o pedido proibido. Essa decomposição mostra que o ponto mais frágil da cadeia de defesa hoje é a moderação de entrada — que praticamente não barra nada —, enquanto a capacidade do próprio modelo de "se recusar" depois de decodificar o conteúdo ainda barra uma fração relevante dos casos.
Para times de segurança e trust & safety de produtos com LLM, o achado reforça que confiar em correspondência de padrões (regex, classificadores de superfície) na entrada bruta é insuficiente contra qualquer esquema de codificação, por mais simples que seja — cifras clássicas de séculos como Vigenère já bastam. A defesa mais robusta passa por decodificar/normalizar o conteúdo antes de aplicar moderação, ou por inspecionar também a saída e o raciocínio intermediário do modelo, não só o prompt original.