A fragilidade é específica e mecânica: um modelo treinado para recusar solicitações nocivas em uma única interação ainda cede ao mesmo pedido se um atacante o distribuir ao longo de uma conversa, e um novo artigo chamado ShallowDefend, de pesquisadores da UC Davis e da Microsoft Research, argumenta que isso não é uma lacuna de dados de treinamento, mas sim estrutural. De acordo com o artigo, publicado no arXiv, "o alinhamento é superficial, com o comportamento de segurança concentrado nos primeiros tokens de saída do modelo, e as defesas existentes herdam essa fraqueza." Uma vez que uma resposta começa de forma complacente, afirma o artigo, a distribuição alinhada colapsa de volta em direção à do modelo base — o que explica exatamente por que preencher antecipadamente um prefixo afirmativo derrota a recusa, e por que um atacante multi-turn só precisa guiar a conversa até que a abertura localmente natural seja complacente.
A solução do ShallowDefend é fazer o modelo se comprometer com uma decisão antes de começar a responder, em vez de deixar que essa decisão vaze implicitamente em um prefixo de recusa. O framework, chamado Assess → Decide → Respond, faz o defensor gerar três partes explícitas a cada turno: uma avaliação da intenção subjacente do usuário, uma linha de decisão analisável que diz COMPLY, REFUSE ou (em uma variante) SAFE-REDIRECT, e só então uma resposta condicionada a essa decisão. Como a decisão é um trecho de tokens externalizado, em vez de algo enterrado no tom de uma resposta, o artigo observa que "ela pode, portanto, ser lida por uma regra em vez de julgada por um modelo" — e, como precede a resposta dentro da mesma geração, ela é vinculante: mudar a decisão muda a resposta.
Essa externalização é o que permite que a função de recompensa dispense completamente o modelo juiz. O artigo descreve uma recompensa auto-verificada que simplesmente compara, por correspondência de string, o rótulo assumido pelo modelo com a verdade de referência conhecida da conversa de treinamento — recusar em diálogos originados de sementes nocivas, complacer em diálogos benignos — sem classificador, sem rotulador de preferência e sem pipeline de anotação no laço. Uma variante separada de recompensa externa ainda usa um LLM-as-judge (o artigo usou o classificador HarmBench-13B durante o treinamento e o gpt-5-mini para avaliação) sobre um espaço de decisão de três vias que adiciona safe-redirect. O treinamento usa GRPO, o algoritmo de aprendizado por reforço de Shao et al., aplicando a recompensa apenas no turno final de cada conversa — o "payload turn" — em vez de distribuir o crédito por todos os turnos, o que os autores descobriram que, de outra forma, permite que a política preencha os turnos iniciais e fáceis até que o orçamento de tokens se esgote nos turnos difíceis.
A avaliação abrange duas famílias de modelos e quatorze benchmarks, como afirma o artigo, cobrindo segurança, utilidade e prestatividade, e os defensores são construídos sobre o Llama3.1-8B-Instruct e o Qwen3-8B. No Llama3.1-8B, o defensor auto-verificado "alinhado" atinge uma média de 90.4 SAFE% em cinco suítes de segurança (AdvBench, HarmBench, MultiBreak, CoSafe e MHJ), contra uma média de 59.9 para o modelo base sem defesa e 86.3 para a linha de base mais forte, X-Boundary. No Qwen3-8B, o defensor auto-verificado alcança uma média de 93.4 SAFE%, contra 46.1 para o modelo base. A utilidade — calculada como média entre MMLU, HellaSwag, Winogrande, GSM8K, TruthfulQA e IFEval — permanece próxima da linha de base em ambos os backbones, o que o artigo atribui ao fato de esses benchmarks serem pontuados sem o chat template e, portanto, serem amplamente insensíveis ao treinamento de segurança.
O custo aparece na prestatividade, não na capacidade. No Llama3.1-8B, a recusa excessiva no XSTest sobe para 20.4 no modelo alinhado auto-verificado, contra 10.0 no modelo base, e no XSB sobe para 54.4, contra 30.0 — uma política de decisão mais rígida que o artigo sinaliza diretamente como "um custo modesto à prestatividade." As pontuações do MT-Bench também caem, de 6.20 no modelo base Llama para 5.86 na versão alinhada auto-verificada. As ablações do artigo descobriram que remover completamente a linha de decisão — deixando apenas a avaliação e a resposta — foi a mudança isoladamente mais prejudicial testada: a segurança na suíte caiu abaixo do modelo base sem defesa sob red-teaming humano, mesmo com a avaliação, a recompensa e os dados mantidos intactos, o que os autores usam para argumentar que é a decisão assumida, e não a deliberação ao seu redor, que sustenta a defesa.
O modelo de ameaça também é explicitamente limitado: o artigo afirma que seus ataques são "ataques multi-turn roteirizados e reproduzidos estaticamente," e lista adversários adaptativos como uma limitação em aberto que não aborda. Também sinaliza que os juízes usados para pontuar a segurança discordam entre si em uma parcela substancial das amostras individuais — uma dispersão que os autores dizem "alertar contra a leitura da taxa de sucesso de ataque de um único juiz como verdade absoluta," o que é tanto uma admissão sobre a confiabilidade da avaliação de segurança em geral quanto sobre este método especificamente.
Para uma equipe que está reforçando um agente de chat contra jailbreaks de ataque distribuído, o ponto acionável aqui não são os números específicos de SAFE%, que dependem do backbone e do benchmark — é a receita: externalizar uma decisão de segurança analisável como um trecho de tokens ao qual o modelo deve se comprometer antes de responder, e recompensar apenas esse trecho em relação a um rótulo conhecido no turno final, em vez de tentar moldar o tom da resposta inteira com um modelo juiz no laço.