MARS transfere a recusa de texto para vídeo e imagens sem dados: teste com 5 MLLMs

Os autores do trabalho Harnessing Textual Refusal Directions for Multimodal Safety propuseram o MARS, método que dá a modelos de linguagem multimodais a capacidade de recusar pedidos perigosos sem ajuste fino e sem um único exemplo multimodal de conteúdo inseguro. O vetor de recusa vem do backbone textual do modelo, e a intervenção é feita em apenas um token: o primeiro gerado. O método foi testado em cinco MLLMs de ponta, em três eixos: segurança, utilidade e resistência a jailbreaks via vídeo.

Por que a segurança multimodal esbarra nos dados

As formas tradicionais de tornar um MLLM mais seguro exigem dados multimodais perigosos. Elas se dividem entre o alinhamento pós-treinamento e o activation steering, em que as ativações do modelo são deslocadas na direção da recusa. Esses dados são difíceis de coletar. Para cada nova modalidade (imagens, vídeo e, mais adiante, áudio e o que mais vier), é preciso refazer a coleta. Além disso, reunir e distribuir esse tipo de material levanta questões éticas e jurídicas.

Os autores fizeram a pergunta inversa: será que um dataset multimodal é realmente necessário? A parte textual do modelo já aprendeu a recusar há muito tempo. Se a "direção de recusa" no espaço de ativações for comum às modalidades, ela pode ser extraída do texto e aplicada a imagens e vídeos.

O que os experimentos preliminares mostraram

A hipótese se confirmou, mas com ressalvas. As direções de recusa textuais de fato se transferem para imagens e vídeos. A eficácia, porém, depende de três fatores: a camada escolhida, a intensidade da intervenção e o alinhamento entre modalidades.

O terceiro fator causa o principal efeito colateral. Por causa do desalinhamento entre modalidades, as ativações de entradas multimodais comuns e seguras ficam em uma região diferente das ativações de texto. O vetor de recusa as desloca para a recusa de forma indevida. O modelo passa a recusar imagens e vídeos inofensivos, e a utilidade cai.

Como o MARS funciona

O MARS (Modality-Agnostic Refusal Steering) ataca exatamente esses problemas com três mecanismos. O método é leve e não exige treinamento.

• Dados: não são necessários dados multimodais de conteúdo inseguro; a direção de recusa é extraída do backbone textual do LLM.
• Treinamento: nenhum (training-free); a intervenção acontece na inferência.
• Centralização das ativações: corrige o desalinhamento entre modalidades, para que entradas seguras não sejam deslocadas para a recusa.
• Intensidade adaptativa: o coeficiente é ajustado para cada entrada dentro de uma região de confiança (trust region) definida geometricamente.
• Escolha da camada: o método encontra a camada ideal para a intervenção.
• Ponto de intervenção: o primeiro token gerado.
• Avaliação: cinco MLLMs SOTA e três frentes de teste (segurança, utilidade, jailbreak em vídeo).

Segundo os autores, o MARS aumenta a segurança de forma consistente e preserva a utilidade, até o ponto em que surgem recusas excessivas. Essa ressalva no abstract é importante: o equilíbrio continua sendo um compromisso ajustável, e não um upgrade gratuito. O abstract não traz percentuais concretos, então não é possível avaliar a magnitude do efeito por ele. É preciso consultar as tabelas do próprio artigo e reproduzir os resultados em modelos próprios.

A principal conclusão do trabalho vai além do método. A estrutura associada à segurança é comum a diferentes modalidades, e as direções de recusa textuais continuam sendo uma base pouco explorada para o alinhamento multimodal.

O que dá para aproveitar na prática

Para equipes que lançam ou ajustam MLLMs, o método interessa antes de tudo pelo baixo custo de adoção. Não é preciso coletar e armazenar imagens e vídeos perigosos nem rodar um ciclo de ajuste fino, e a intervenção se limita ao primeiro token, o que sugere um overhead pequeno na inferência. Para empresas cujos departamentos jurídicos bloqueiam a coleta desse tipo de dataset, é uma alternativa viável.

Antes de adotar o método, vale verificar três pontos. Primeiro: como se comporta o over-refusal nas suas consultas seguras reais, sobretudo com imagens e vídeos, onde o desalinhamento entre modalidades é mais forte. Segundo: até que ponto a camada escolhida e a região de confiança se transferem entre arquiteturas, já que os próprios autores consideram a escolha da camada crítica. Terceiro: a resistência a ataques adaptativos. Os testes incluem jailbreak em vídeo, mas um atacante que conheça o steering vai procurar formas de contorná-lo.

Para o restante da indústria, o recado é este: parte da segurança de modelos multimodais pode vir do alinhamento textual, que já foi pago. Se a abordagem resistir a uma verificação independente, ela deve baratear a proteção para novas modalidades.