BRANCH: tecnica de busca em arvore atinge 100% de sucesso contra guardrails de IA com multiplos scanners
Sistemas de guardrail modernos combinam varios scanners especializados para fechar as lacunas de deteccoes isoladas contra jailbreaks e prompt injection, mas o BRANCH, uma nova tecnica de busca em arvore que otimiza perturbacoes adversariais contra o conjunto de scanners como um todo, quebrou essa defesa com 100% de taxa de sucesso em seis sistemas testados. Os bypasses gerados tambem transferiram para 29 guardrails nunca vistos durante o desenvolvimento do ataque, incluindo oito produtos comerciais de caixa-preta.
A resposta natural ao fato de que um unico classificador de seguranca e facil de enganar foi combinar varios scanners especializados, um para prompt injection, outro para jailbreak, outro para conteudo toxico, formando um guardrail composto cuja promessa e que as representacoes latentes compartilhadas entre os classificadores fechariam as lacunas de deteccao isolada. O BRANCH mostra que essa promessa nao se sustenta na pratica.
Tecnicamente, o BRANCH usa uma busca em arvore ramificada que aplica perturbacoes adversariais a um prompt de forma dinamica contra cada scanner individualmente, mas seleciona e otimiza as perturbacoes seguintes com base na melhoria agregada observada em todo o conjunto de scanners do sistema de guardrail, nao em um unico classificador por vez. Essa decisao de design desacopla a etapa de avaliar se um bypass funcionou da etapa de otimizar o proximo passo do ataque, permitindo que a busca navegue eficientemente o espaco combinado de decisoes de multiplos detectores simultaneamente.
O resultado e contundente: 100% de taxa de sucesso de ataque contra seis sistemas de guardrail diferentes, testados em 120 cenarios, usando 72% menos consultas e 4,5 vezes menos tempo de execucao do que tecnicas estabelecidas anteriormente, preservando o significado semantico original do payload malicioso dentro do bypass (ou seja, sem precisar ofuscar a instrucao maliciosa a ponto de ela deixar de funcionar). Mais grave ainda, os bypasses gerados contra os seis sistemas de treino transferiram para 29 guardrails nunca vistos, incluindo oito produtos comerciais de caixa-preta, com taxa de sucesso chegando a 100% em alguns casos sem nenhuma otimizacao adicional especifica para o novo alvo.
Isso tem implicacao direta para quem opera guardrails de IA em producao hoje: a defesa em profundidade via multiplos scanners, hoje vendida como mitigacao robusta contra jailbreak e prompt injection, pode ser sistematicamente contornada por um atacante que otimiza contra o conjunto em vez de contra scanners isolados, e a alta transferibilidade sugere que esse nao e um problema de um produto especifico, mas de uma limitacao estrutural de como guardrails compostos sao hoje projetados e avaliados.