Defesa multiagente autoevolutiva reduz jailbreak em LLMs a quase zero

Defender modelos de linguagem contra ataques de jailbreak virou um jogo de gato e rato: a cada técnica nova de ataque, os times de segurança correm para tapar o buraco. Um preprint do arXiv propõe inverter a lógica. Em vez de treinar um modelo “endurecido” uma única vez, o método mantém uma memória externa persistente de regras que evolui durante o uso, aprendendo com cada tentativa de ataque que é bloqueada.

Uma defesa que aprende no teste

A estrutura opera em tempo de teste e usa múltiplos agentes. Quando um prompt malicioso é detectado como violação, o sistema induz uma regra sobre o método de ataque (o “invólucro” usado, como codificação de caracteres ou encenação de personagem) — não sobre o tópico nocivo em si. A intenção é generalizar entre ataques que compartilham o mesmo formato, mesmo que o conteúdo nocivo mude.

A memória começa vazia e só é atualizada após uma violação detectada em entrada não benigna. Isso torna a avaliação um teste de interação sequencial: cada prompt só pode usar regras aprendidas com falhas anteriores na mesma sequência.

Resultados e custo

Nos testes com 520 prompts nocivos do AdvBench, as taxas de sucesso de ataque variaram de 0,1% a 3,5% na métrica principal (um juiz baseado em LLM). Em tarefas benignas (MMLU e GSM8K), as pontuações ficaram numericamente próximas das de um modelo sem defesa — ou seja, a proteção não degradou a utilidade de forma relevante.

O preço é computacional: em regime estável, cada entrada exige três chamadas ao modelo, o que representa 3,07× as chamadas e 1,43× a latência de um modelo de disparo único. Em uma análise sequencial com lotes de 20 ataques, as taxas de sucesso caíram para perto de zero a partir da primeira rodada.

Limites claros

O estudo cobre quatro famílias representativas de jailbreak de caixa-preta e um teste adaptativo composto. Ficam em aberto a cobertura total de ataques, o comportamento em conversas multi-turno e em cenários agenticos, e o problema de fluxos de interação muito longos (a memória cresce sem poda explícita). O documento também não reporta intervalos de confiança para as taxas principais.

Para profissionais de segurança e plataformas que expõem LLMs a usuários finais, a proposta aponta um caminho promissor: defesas adaptativas que se reforçam com o uso, em vez de firewalls estáticos.