Ataques white-box mostram que a segurança de LLMs pode ser desligada 'por dentro' — pesquisadores propõem rotas dinâmicas para blindar o modelo
Um novo estudo descreve uma classe de ataques que, ao invés de tentar contornar as defesas de um LLM por fora (jailbreaks clássicos), localiza e desativa diretamente os neurônios ou 'rotas' internas responsáveis pelo comportamento de recusa. Como resposta, os autores propõem o DRAA, um mecanismo que identifica essas rotas de segurança e constrói caminhos de recusa alternativos e dinâmicos que continuam funcionando mesmo quando a rota original é comprometida.
A maior parte da literatura de jailbreak até aqui trata o modelo como uma caixa preta: o atacante manipula o prompt de entrada para tentar contornar o alinhamento de segurança sem acesso aos pesos ou à arquitetura interna. O paper parte de uma ameaça mais forte e cada vez mais realista à medida que modelos abertos se popularizam: um atacante com acesso white-box, capaz de inspecionar e manipular diretamente as ativações internas do modelo, pode localizar e desligar cirurgicamente os componentes responsáveis pela recusa de pedidos nocivos.
O mecanismo de defesa proposto, DRAA (dynamic routing adaptive alignment), funciona em três etapas. Primeiro, os autores localizam a "rota de segurança" do modelo contrastando as ativações internas geradas por exemplos seguros e inseguros de calibração — essencialmente mapeando qual caminho interno é responsável pela recusa. Em seguida, eles mascaram deliberadamente essa rota para induzir falhas causais controladas, simulando o que um atacante white-box faria. Por fim, essas falhas induzidas alimentam a construção de pares de preferência "conscientes de falha", usados para treinar rotas de recusa compensatórias e dinâmicas — de forma que, se a rota principal for comprometida, uma rota alternativa assume o comportamento de recusa.
Os experimentos mostram que essa reestruturação da dependência interna de segurança do modelo aumenta substancialmente a robustez contra ataques white-box em nível de rota, sem comprometer de forma relevante a utilidade geral do modelo em tarefas normais — indicando que é possível, ao menos parcialmente, tratar a robustez a esse tipo de ataque como uma propriedade arquitetural passível de reforço, e não apenas como resultado de fine-tuning de alinhamento estático.
O trabalho é relevante tanto para quem publica modelos abertos com pesos acessíveis (onde ataques white-box são triviais de executar) quanto para provedores de modelos fechados que precisam considerar cenários de vazamento de pesos ou acesso interno privilegiado. Defesas estáticas de recusa — um único caminho fixo no modelo responsável por dizer "não" — são, segundo o estudo, um ponto único de falha que atacantes com acesso interno já sabem explorar.