Instituto Alan Turing contorna proteções de modelos de IA ao disfarçar pedidos de tarefas de trabalho

Pesquisadores do Instituto Alan Turing descobriram uma nova forma de contornar os mecanismos de proteção de modelos de IA. Pedidos proibidos, que o modelo se recusa a atender diretamente, podem ser disfarçados de tarefa comum para um agente de IA que ajuda a escrever código. Nesse caso, os filtros nem sempre são acionados, segundo o artigo publicado pelo grupo.

Qual é a essência do bypass

Os modelos de IA atuais são treinados para recusar pedidos claramente inadequados, como os relacionados à criação de código malicioso. Só que esses mecanismos de proteção foram ajustados, antes de tudo, para reconhecer formulações diretas, feitas explicitamente no chat. Os pesquisadores mostraram que, se um pedido desse tipo for reformulado como um dos itens da lista de tarefas de um agente de IA que auxilia na programação, o modelo tem mais chance de executá-lo sem identificá-lo como inadequado.

• A vulnerabilidade foi descoberta por pesquisadores do Instituto Alan Turing
• O método de bypass consiste em disfarçar o pedido proibido de tarefa para um agente de IA programador
• O trabalho foi publicado como um documento PDF separado
• O problema afeta modelos que, no modo de conversa, costumam recusar pedidos inadequados diretos

O que é o Instituto Alan Turing

O Instituto Alan Turing é o centro nacional de pesquisa do Reino Unido em ciência de dados e inteligência artificial, com sede em Londres. A instituição publica regularmente estudos que cruzam segurança de IA e aplicação prática de modelos, incluindo trabalhos sobre como agentes mal-intencionados podem contornar as restrições embutidas em chatbots comerciais e sistemas agênticos.

Por que isso é perigoso para agentes de IA

Nos últimos dois anos, agentes de IA para programação — ferramentas que executam cadeias de tarefas por conta própria, sem supervisão humana constante — se popularizaram. Desenvolvedores passaram a delegar a eles listas inteiras de afazeres, em vez de pedidos isolados. É justamente essa autonomia que abre a brecha: se uma tarefa maliciosa se infiltra discretamente entre itens legítimos da lista, o agente pode executá-la em sequência com as demais. E, ao contrário de uma conversa comum com um chatbot, o humano não vê nem avalia cada passo individualmente antes da execução.

Como a indústria costuma se proteger desses bypasses

Descobertas desse tipo são chamadas de jailbreaks: métodos para contornar as restrições embutidas de um modelo sem invadir o sistema no sentido técnico. Normalmente, quando uma vulnerabilidade assim é divulgada, os desenvolvedores respondem com fine-tuning do modelo em novos exemplos de ataque e com filtros adicionais, que verificam não só o pedido isolado, mas também o contexto de toda a conversa ou da lista de tarefas completa. O problema é que cada nova camada de proteção acaba, com o tempo, provocando o surgimento do próximo bypass — uma corrida constante entre desenvolvedores de modelos e pesquisadores de segurança.

O que isso significa

A descoberta dos pesquisadores do Instituto Turing mostra que mecanismos de proteção calibrados para o chat comum nem sempre se transferem para cenários agênticos. À medida que agentes de IA ganham cada vez mais autonomia para escrever código, os desenvolvedores terão de testar as proteções não apenas contra pedidos diretos, mas também contra pedidos disfarçados dentro de listas de tarefas.