Framework HACA automatiza jailbreak multimodal com 95% de taxa de sucesso contra modelos multimodais líderes
Pesquisadores decompõem o espaço de estratégias de jailbreak multimodal em componentes atômicos estruturais, semânticos e sintáticos, cobrindo texto e imagem, e propõem o HACA (Hierarchical Atomic Combination Attack), um método que combina automaticamente essas estratégias por meio de um planejador cross-modal. O sistema atingiu taxa média de sucesso de 95,48% contra cinco MLLMs (modelos de linguagem multimodais) amplamente usados, superando abordagens artesanais anteriores.
O ponto de partida do trabalho é uma crítica a ataques de jailbreak multimodal existentes: eles provam que é possível contornar as defesas de um MLLM combinando texto e imagem, mas dependem fortemente de tentativa e erro manual, sem um espaço de estratégias sistemático nem uma forma eficiente de gerar novos ataques automaticamente. Os autores respondem decompondo o espaço de ataque em seis dimensões — estruturais, semânticas e sintáticas, aplicadas tanto ao texto quanto à imagem — criando um conjunto de estratégias atômicas que podem ser combinadas de forma combinatória.
O HACA usa um "planejador conjunto cross-modal" para escolher e combinar essas estratégias atômicas, e depois um "executor generativo unificado" que traduz a combinação escolhida diretamente em instruções de jailbreak prontas para uso, eliminando a etapa manual de criação de prompt que caracterizava trabalhos anteriores. Na prática, isso transforma o jailbreak multimodal de um processo artesanal, dependente de intuição de um pesquisador, em um pipeline de busca automatizada sobre um espaço de estratégias bem definido — o mesmo tipo de industrialização que já ocorreu antes com fuzzing e geração automática de exploits em segurança de software tradicional.
O resultado de 95,48% de taxa média de sucesso contra cinco MLLMs mainstream é expressivo por dois motivos: primeiro, porque supera claramente abordagens anteriores dependentes de curadoria humana; segundo, porque a decomposição atômica sugere que o método deve generalizar bem para novos modelos, já que não depende de encontrar uma única técnica frágil, mas de recombinar componentes básicos que continuam válidos mesmo quando defesas pontuais são corrigidas.
Para equipes de red-team e de segurança de produto de IA multimodal, o HACA é relevante como ferramenta de avaliação: automatizar a cobertura de um espaço de ataque estruturado é exatamente o tipo de capacidade que se espera ver replicada por atacantes reais, o que eleva a urgência de defesas que não dependam de bloquear padrões de prompt específicos, mas de mecanismos mais robustos de alinhamento e filtragem multimodal.