Pesquisadores da Universidade da Pensilvânia demonstraram hipnose de modelo: dicas fracas individualmente, semanticamente irrelevantes, empilhadas em um prompt podem impulsionar a saída de um modelo de linguagem com quase certeza. Publicado em 17 de agosto de 2026 por Enric Boix-Adsera e Benedict Tessler, o artigo confirma que o ataque funciona em 16 modelos sem raciocínio, quatro modelos de API de fronteira, incluindo GPT-5.6, Gemini e Claude, e modelos de raciocínio de peso aberto com orçamentos de pensamento estendido. A transferência entre famílias de modelos funciona.
O mecanismo é aditivo. Pesquisadores modelam a influência de cada dica como um coeficiente de log-odds, depois selecionam avidamente dicas apontando na mesma direção. Nenhuma dica individual é forte o suficiente para detectar ou bloquear; o efeito cumulativo inverte o modelo. O artigo mostra: a mesma questão moral (É certo causar um dano se isso prevenir cinco danos maiores?), precedida por uma história irrelevante de seis frases, produz "Não" com 94% de probabilidade na formulação original e "Sim" com 99,93% de probabilidade após paráfrase adversarial. A história contém zero informações relevantes para a questão ética. Qwen3-8B foi o alvo; a construção do prompt foi totalmente automática.
Quatro famílias de dicas foram testadas em três alvos comportamentais. Listas de animais: um template de 10 slots prepara se o modelo prefere 5 ou 7. Paráfrases: uma história de 20 slots controla respostas do problema do carrinho. Blobs de metadados JSON: um objeto de 12 campos altera a consciência autossinalizada. Erros de digitação: uma história de 20 slots produz efeitos direcionais nos mesmos alvos. Todas as quatro famílias de dicas funcionam. Os efeitos comportamentais abrangem domínios factuais e carregados de valores.
O resultado da transferência é crítico para produção. Prompts hipnóticos construídos contra um modelo mantêm efeitos direcionais quando executados contra uma família diferente. Um atacante que faz a impressão digital das sensibilidades de um modelo pode reutilizar prompts construídos em diferentes implementações sem refazer o ajuste. Para equipes executando pipelines de múltiplos modelos — um modelo juiz verificando saídas de um gerador diferente, uma camada de roteamento amostrando de dois provedores, ou configurações agênticas multifornecedoras — a superfície de ataque não desmorona quando você alterna modelos.
Proteções de bloqueio de token não oferecem proteção. Hipnose de modelo opera em texto semanticamente neutro: paráfrases, nomes de animais, variantes de pontuação, erros de digitação. Não há tokens proibidos, nenhum sufixo adversarial, nenhuma violação de política para interceptar. Classificadores de conteúdo padrão passam em prompts hipnóticos. Monitores do lado da saída enfrentam a mesma lacuna: o modelo fornece uma resposta confiante e sintaticamente limpa covertamente determinada pela pilha de dicas no contexto. Hipnose de modelo é distinta do jailbreaking e impede a interpretabilidade mecanicista porque o sinal é distribuído em escolhas de token inconspícuas em vez de concentrado em trechos detectáveis.
Os dados experimentais são totalmente liberados no Zenodo (DOI 10.5281/zenodo.21981022) em 280 MB comprimido, 1,5 GB descompactado, com pipeline reproduzível e explorador interativo por célula. As equipes podem executar o estágio de ajuste na CPU contra dados pré-coletados para auditar as sensibilidades por dica de seu próprio modelo sem acesso à GPU.
Se sua pilha de proteção opera em identidade de token ou classificadores de conteúdo semântico, ela não cobre esta classe de ataque. A auditoria de hipnose de modelo requer medição empírica de sensibilidade a dica no nível do modelo, não inspeção de regras no nível de entrada.