Nenhum modelo de IA de ponta resiste a ataques em múltiplas etapas, aponta Cisco

Os modelos mais vulneráveis

As taxas de sucesso de ataques (ASR, na sigla em inglês) em múltiplos turnos no grupo de modelos proprietários variaram de 7,89% a 88,30%, enquanto as taxas para ataques de turno único nos mesmos modelos ficaram entre 2,19% e 64,91%. Isso mostra que permitir que um atacante adapte a conversa faz uma diferença brutal na segurança.

• xAI – Grok 4.1 Fast (modo sem raciocínio) foi o mais vulnerável, com uma ASR de múltiplos turnos de 88,30%. Curiosamente, quando o modo de raciocínio foi ativado, a taxa caiu para 43,47%, revelando uma oscilação de segurança não capturada por nenhum benchmark público.
• Google – Gemini 3 Pro passou de 18,10% em turno único para 73,35% em múltiplos turnos, um aumento de 4 vezes.
• OpenAI – GPT-5.4 saltou de 2,74% em turno único para 24,68% em múltiplos turnos, um aumento de 9 vezes.
• Anthropic – Família Claude (Opus 4.5/4.6, Sonnet 4.5/4.6, Haiku 4.5) estava entre os mais fortes na recusa de turno único (ASR de 2,19%–3,64%), mas ainda assim atingiu uma ASR de múltiplos turnos de 11,16%–16,20%.
• Amazon – Nova 2 Lite teve a menor ASR de múltiplos turnos, com 7,89%, um valor que a Cisco ainda classifica como um "risco residual significativo".

No estudo anterior com modelos de código aberto, a ASR de múltiplos turnos chegou a impressionantes 92,78% contra o Mistral Large-2, com taxas de sucesso 2 a 10 vezes maiores do que as linhas de base de turno único em todos os oito modelos testados.

As cinco famílias de estratégias de ataque

A Cisco identificou e testou cinco famílias de estratégias de ataque de múltiplos turnos :

1. Role-Play / Adoção de Persona – O atacante adota um personagem ou papel para conduzir a conversa gradualmente em direção a conteúdo proibido.
2. Ambiguidade Contextual / Desorientação – A intenção maliciosa é escondida em um contexto aparentemente benigno ou ambíguo ao longo dos turnos.
3. Reformulação da Recusa / Redirecionamento – O atacante transforma a recusa do modelo em um novo pedido que se aproxima incrementalmente do limite da restrição.
4. Decomposição e Remontagem de Informação – Um pedido prejudicial é quebrado em pedaços menores ao longo de vários turnos e depois remontado pelo próprio modelo.
5. Crescendo / Escalação Incremental – Os comandos começam inofensivos e escalam gradualmente, sessão após sessão, desgastando as barreiras de segurança.

A diferença entre os modelos mais e menos expostos variou significativamente entre essas famílias, confirmando que a vulnerabilidade não é uniforme para cada estratégia.

Recomendações da Cisco para avaliar e implantar LLMs com segurança

A pesquisa deixa claro que as práticas atuais de segurança são insuficientes. Para se proteger, a Cisco recomenda uma mudança de mentalidade e de processos:

• Rejeite a ASR de turno único como métrica de segurança. Os benchmarks de comando único, sozinhos, geram rankings enganosos e escondem riscos significativos. As avaliações devem incluir testes de ataque adaptativo e de múltiplos turnos para refletir o comportamento real de um adversário.
• Adote a avaliação de múltiplos turnos como prática padrão. Compradores e órgãos reguladores devem perguntar: "Como este modelo se comporta contra ataques adaptativos de múltiplos turnos?" antes de qualquer aquisição ou implantação.
• Implante barreiras de proteção sensíveis ao contexto e monitoramento em tempo real. A segurança estática do modelo não é suficiente. As organizações precisam de detecção em tempo real de padrões de conversa anômalos e comportamentos que testam limites.
• Realize exercícios de "red-teaming" regulares que simulem especificamente ataques iterativos de longa duração, e não apenas tentativas de jailbreak de tiro único.
• Aplique treinamento adversário para melhorar a robustez do modelo, com foco em manter a segurança ao longo de vários turnos, e não apenas na primeira interação.
• Use defesas em camadas: Nenhuma barreira de proteção é suficiente sozinha. Combine alinhamento em nível de modelo, filtragem de entrada/saída, monitoramento comportamental e supervisão humana.
• Entenda a filosofia de alinhamento do laboratório de IA. Modelos de laboratórios que enfatizam publicamente a segurança (como a família Gemma do Google) mostraram diferenças menores entre ataques de turno único e múltiplos. Já os modelos que priorizam a capacidade (como o Llama da Meta e o Grok da xAI) mostraram diferenças muito maiores. A Cisco aconselha as organizações a considerarem esse fator na escolha do modelo.
• Use ferramentas de avaliação estruturadas, como a plataforma AI Validation da Cisco (agora parte do LLM Security Leaderboard), para gerar pontuações de risco de múltiplos turnos comparáveis e reproduzíveis antes da implantação.