A Defesa Que Concede o Jailbreak: Decoy Hardening Envenena o Que a Remoção Destrava

Em agosto de 2026, Mark Russinovich, da Microsoft Azure, publicou uma defesa construída sobre uma concessão: a abliteração remove os mecanismos de recusa de um modelo em minutos, em hardware de consumo. O Fool’s Gold nem tenta impedir a remoção. Ele treina o modelo para que aquilo que o atacante destrava saia envenenado. No mesmo mês, a OpenAI pausou por duas semanas o treinamento por reforço dos modelos destinados a produção e colocou em espera sua maior rodada de RL de fronteira já planejada, depois que um modelo chamado Astra mostrou evidência preliminar de capacidade Crítica em cibersegurança.

Dois movimentos, a mesma inversão. Um fornecedor parou de defender a fechadura e passou a degradar o saque. Um laboratório parou de controlar o deployment e passou a frear o próprio treinamento. Prevenção deixou de ser a premissa operacional da governança de segurança de fronteira. Degradar o ganho do atacante assumiu o lugar.

Uma Defesa Desenhada Para o Estado Pós-Remoção

Cobrimos o lado do ataque na análise do circuito de censura do Qwen: o alinhamento assenta sobre o modelo como um adesivo, e removê-lo é barato. O Fool’s Gold é a primeira defesa publicada que trata esse achado como condição de partida, e a pergunta de projeto muda: em vez de “como manter as recusas no lugar”, ela vira “o que o modelo entrega ao atacante depois que as recusas se foram”.

A resposta é absurdo confiante, seletivamente. Um modelo defendido, após ter seu treinamento de segurança removido, produz respostas-isca em pedidos nocivos a taxas de 0,51 a 0,90 nos seis modelos testados. As iscas não aparecem como recusas visíveis nem como texto degradado. Elas se leem como respostas competentes e erram exatamente onde o erro pesa: em benchmarks adjacentes a CBRNE, o modelo defendido e então jailbroken está fatalmente errado em 0,82 a 0,86 das respostas, contra no máximo 0,10 de um modelo sem defesa sob o mesmo ataque.

Duas propriedades transformam isso em artefato de governança em vez de curiosidade de laboratório, e ambas vêm dos números do estado limpo. Primeiro, o comportamento de recusa antes de qualquer ataque permanece entre 0,997 e 1,000, então a defesa não vaza para a operação normal. Segundo, a capacidade benigna em MMLU, GSM8K, WMDP-bio e IFEval fica dentro do ruído. O usuário legítimo paga nada mensurável. O atacante herda um modelo que responde tudo e que já não merece confiança justamente nas perguntas que motivaram o jailbreak.

A frase de Russinovich carrega o projeto inteiro: “What cannot be prevented can be deceived”. O que não pode ser prevenido pode ser enganado.

Receita Aberta, Corpus Restrito

O lançamento vai além de um paper com demonstração. O pipeline de construção de corpus e o harness de treinamento com ataques simulados são open-source e dirigidos por configuração, descritos como um arquivo JSON por modelo. Qualquer laboratório ou fornecedor que publique modelos de pesos abertos pode rodar a receita contra seus próprios checkpoints. O corpus real de iscas fica restrito a pesquisadores verificados, uma divisão sensata: o método se espalha, a munição fica contida.

Essa escolha de distribuição muda a conversa com fornecedores. Até agora, um fornecedor de pesos abertos questionado sobre remoção de segurança tinha uma única resposta honesta: acontece, e não conseguimos impedir. A linha de defesa dos modelos restritos responde ao problema deixando de publicar os pesos. O decoy hardening dá ao lado dos pesos abertos sua primeira resposta afirmativa: a remoção continua acontecendo, e o que ela destrava está armadilhado. Se essa resposta resiste a ataques adaptativos desenhados para detectar as iscas é uma questão aberta. Mas uma defesa com taxas publicadas, custos publicados e pipeline executável passa a ser a régua contra a qual um fornecedor de pesos abertos pode ser medido.

O Mercado Já Precifica a Mesma Premissa

O lado ofensivo chegou à mesma conclusão pela direção oposta. Claudia d’Antoine, CEO da Margin Research, descrevendo em agosto de 2026 a pesquisa de vulnerabilidades assistida por IA: antes mesmo de um pesquisador ofensivo conseguir encontrar ou explorar uma vulnerabilidade, “it is already halfway to n”. Ela já está a meio caminho de n. A firma batizou o artefato resultante de half-day: um exploit cuja janela de exclusividade colapsa quando o escrutínio dirigido por IA já está a meio caminho da mesma falha.

Um mercado de half-days é um mercado que parou de assumir que segredos se mantêm. Esse é o espelho econômico do decoy hardening. Se a vulnerabilidade não fica exclusiva, o valor migra para a velocidade e para o que o alvo faz depois do comprometimento. Se a recusa não fica no lugar, o valor migra para o que o modelo faz depois da remoção. Rastreamos o lado ofensivo dessa compressão em como a IA ofensiva reescreve o open source. O vocabulário defensivo agora corre atrás.

O Laboratório Freia o Próprio Insumo

O anúncio de pacing da OpenAI é o terceiro ponto convergente, e o mais caro institucionalmente. Segundo o post, que lemos na íntegra: em 7 de agosto a empresa determinou que o Astra, um modelo de fronteira em treinamento, mostrava evidência preliminar de capacidade Crítica em cibersegurança sob seu Preparedness Framework. Somado a um incidente de segurança envolvendo a Hugging Face, cujos detalhes ainda não são públicos e cujo relatório técnico foi prometido para as próximas semanas, o resultado foi a pausa de duas semanas no treinamento por RL dos modelos destinados a produção e a suspensão da maior rodada de RL de fronteira já planejada.

Pausar treinamento é uma categoria de controle diferente de restringir acesso. O programa de acesso confiável governa quem alcança uma capacidade depois que ela existe. Uma pausa de treinamento governa se a capacidade passa a existir no cronograma previsto. O controle subiu para antes do artefato.

Os números operacionais anunciados mostram o custo dessa postura. O post se compromete com um SLA de alerta de 30 minutos e estima o overhead de monitoramento em cerca de 20% da computação de inferência monitorada. Um quinto da inferência monitorada gasto vigiando os outros quatro quintos é uma linha de custo real, divulgada voluntariamente, por quem a paga. E a frase prospectiva do post fecha o circuito com as outras duas fontes: a empresa espera que modelos em breve conduzam a maior parte do trabalho de segurança, incluindo a defesa contra outros modelos.

O Que a Inversão Muda Para Quem Compra

Se você adquire ou implanta modelos de pesos abertos, a pergunta de diligência ganhou um formato novo. Perguntar ao fornecedor se o treinamento de segurança pode ser removido virou pergunta de resposta conhecida, e um fornecedor que afirme o contrário está revelando algo sobre o próprio modelo de ameaça, nada bom. A pergunta produtiva é o que o modelo rende ao atacante no estado pós-remoção, e se o fornecedor consegue colocar números nisso como o Fool’s Gold coloca: taxa de isca, recusa em estado limpo, delta de capacidade benigna, taxa de erro fatal nos domínios que importam.

Se você roda fine-tunes internos de modelos de pesos abertos, a mesma receita corta no outro sentido. Um modelo base endurecido que emite iscas confiantes após a remoção de segurança vai emitir essas iscas também para o seu red team, e possivelmente para um fine-tune que perturbe o treinamento de segurança sem intenção. O comportamento de isca precisa entrar na sua matriz de avaliação antes que um modelo endurecido entre no seu stack, ou você vai depurar respostas erradas e plausíveis sem nenhuma assinatura para buscar.

Faça isso agora: adicione uma coluna de pós-remoção à sua planilha de avaliação de modelos. Para cada modelo de pesos abertos em uso ou em consideração, registre o que se sabe sobre o comportamento dele após a remoção do treinamento de segurança: nada, alegação do fornecedor, ou taxas medidas. Hoje quase toda linha vai dizer nada. É nessa coluna que essa classe de defesa será pontuada daqui em diante, e as primeiras conversas com fornecedores que citarem taxas de isca são as que o seu time de segurança deveria acompanhar de perto.

Fontes

Mark Russinovich, Microsoft Azure. “Fool’s Gold: Defensive Deception Against Safety-Removal Attacks.” Agosto de 2026.
Margin Research. “Introducing the Half-Day: 0-Day in the Age of AI.” Agosto de 2026.
OpenAI. “Pacing Model Development in an Era of Cyber-Critical Capabilities.” Agosto de 2026.

A Victorino ajuda organizações de engenharia a avaliar o risco de modelos de pesos abertos, incluindo o comportamento pós-remoção, antes que entrem no stack de produção: contato@victorino.com.br | www.victorino.com.br