Apple ML Research: Um neurônio contorna o alinhamento de segurança em LLMs de 1,7 a 70 bilhões de parâmetros

Em julho de 2026, pesquisadores da Apple ML Research publicaram um trabalho sobre uma vulnerabilidade fundamental no alinhamento de segurança em grandes modelos de linguagem: é suficiente afetar um único neurônio para contornar completamente a proteção ou provocar uma saída prejudicial a partir de uma solicitação neutra. O experimento cobriu sete modelos de duas famílias com contagens de parâmetros de 1,7 a 70 bilhões — sem fine-tuning e sem modificações de prompts.

Como o alinhamento de segurança funciona internamente

O alinhamento de segurança é o mecanismo pelo qual um modelo de linguagem se recusa a executar solicitações perigosas: explicar síntese de armas, criar código malicioso, gerar conteúdo proibido. Até agora, acreditava-se que esse mecanismo está profundamente integrado aos pesos do modelo e é resistente a intervenções superficiais.

Pesquisadores da Apple revelaram um quadro diferente: o alinhamento de segurança depende de dois tipos de neurônios mecanicisticamente independentes. Neurônios de recusa (refusal neurons) controlam se as informações prejudiciais serão expressas na resposta — funcionam como um filtro lógico na "saída". Neurônios de conceito (concept neurons) não filtram, mas codificam o conhecimento do conteúdo prejudicial dentro do próprio modelo. A descoberta-chave: ambos os tipos funcionam independentemente e são suscetíveis a intervenções separadas.

O que acontece ao atacar um único neurônio?

A equipe demonstrou ambas as direções de comprometimento — supressão e amplificação:

• 7 modelos de duas famílias de LLM — todos atacados com sucesso
• Intervalo de parâmetros: de 1,7 a 70 bilhões — a escala não fornece proteção
• Suprimir o neurônio de recusa → o modelo responde a solicitações explicitamente proibidas
• Amplificar o neurônio de conceito → um prompt neutro provoca saída prejudicial
• Fine-tuning não é necessário, prompts especiais também não

Quando suprimindo o neurônio de recusa, o modelo começa a responder a solicitações que normalmente bloqueia. Quando amplificando o neurônio de conceito, uma entrada ordinária inofensiva gera inesperadamente conteúdo prejudicial. Ambos os ataques são realizados através de intervenção precisa nas ativações de um único neurônio — sem alterações de pesos e sem formulações inteligentes.

Por que isso importa para desenvolvedores de modelos

O escopo de cobertura é particularmente indicativo. Sete modelos de tamanhos diferentes de duas famílias — de compactos (1,7 bilhões de parâmetros) a tamanho completo (70 bilhões). Nem o tamanho nem o treinamento extensivo criaram uma barreira confiável: a vulnerabilidade se manifestou em todos os casos.

Isso contradiz a crença comum de que o alinhamento se torna mais robusto conforme os modelos crescem. A pesquisa da Apple mostra: a vulnerabilidade está integrada na própria arquitetura do mecanismo, em vez de ser um artefato de treinamento insuficiente.

Igualmente importante é que o ataque não requer engenharia de prompts. A maioria dos métodos conhecidos de jailbreak usa solicitações especialmente formuladas — interpretação de papéis, cadeias de instruções, contornos de múltiplas etapas. Nada disso é necessário aqui: é suficiente saber qual neurônio ativar ou suprimir. Isso move a ameaça da categoria de "engenharia social" para a categoria de "exploração técnica".

O que isso significa

O trabalho da Apple ML Research questiona a confiabilidade das abordagens atuais para alinhamento de segurança. Se um único neurônio pode abrir ou fechar o acesso ao conteúdo prejudicial, o alinhamento não é uma garantia arquitetônica, mas uma camada comportamental frágil. Para pesquisadores, isso abre uma nova fronteira em interpretabilidade, para desenvolvedores — aponta a necessidade de reconsiderar o que realmente pode ser confiável na segurança de IA.