Defesa "Capability-Routed Guard" mira jailbreaks que exploram o raciocínio de modelos de raciocínio grandes
Pesquisadores propõem o Capability-Routed Guard (CRG), uma defesa de inferência para modelos de raciocínio de código fechado que ataca um problema específico: prompts adversariais que manipulam o contexto de raciocínio ou a decomposição de tarefas para fazer o modelo tratar um objetivo malicioso como um passo de raciocínio legítimo. Em vez de inspecionar o prompt adversarial diretamente, o CRG constrói uma representação confiável da tarefa autorizada por um canal separado e roteia a execução conforme o risco.
Modelos de raciocínio grande (LRMs) introduzem um modo de falha de segurança relativamente novo: como eles decompõem tarefas complexas em etapas intermediárias de raciocínio, um atacante pode manipular esse processo — via contexto de raciocínio, decomposição de tarefa ou interpretação de capacidades — para que um objetivo malicioso seja processado como se fosse um passo legítimo dentro de uma cadeia de raciocínio aparentemente inofensiva. Defesas tradicionais (lembretes de segurança embutidos no prompt, classificadores externos, wrappers de auto-checagem) tendem a ser frágeis justamente porque inspecionam a mesma superfície que o ataque explora, ou pedem ao próprio modelo alvo para fazer raciocínio de segurança adicional sobre esse mesmo material comprometido.
O Capability-Routed Guard ataca o problema por outro ângulo: em vez de tentar detectar o ataque no prompt, ele usa um controlador de canal lateral para construir, de forma independente, uma representação confiável da tarefa que o usuário está de fato autorizado a realizar — contexto ativo, evidências de segurança e risco de transferência de capacidade — separando a intenção executável do contexto de raciocínio não confiável que o ataque tenta injetar.
Com essa representação em mãos, o CRG aplica roteamento específico por rota: bloqueia requisições classificadas como alto risco, restringe as ambíguas e permite que requisições de baixo risco sigam pelo caminho de execução normal usando apenas o contexto confiável. Uma etapa final, o TraceCheck, verifica se a execução permanece consistente com a tarefa autorizada original, com um fallback restrito para preservar utilidade em casos legítimos ambíguos — mitigando o problema comum de defesas agressivas gerarem recusas excessivas (over-refusal) em pedidos benignos.
Os experimentos mostram que o CRG mitiga uma variedade de jailbreaks centrados em raciocínio mantendo utilidade em tarefas benignas, com os componentes individuais contribuindo de forma complementar — evidência de que nenhuma etapa isolada é suficiente e que a defesa depende da composição das partes. Para quem opera LRMs como serviço, o resultado reforça que checagens de segurança que compartilham a mesma superfície de entrada do ataque tendem a ser contornáveis, e que separar "o que foi autorizado" de "o que está sendo processado" é uma direção de defesa mais robusta do que apenas adicionar mais um classificador na mesma cadeia.