Mensagens ocultas em imagens de IA são um teste que podemos fazer hoje

O que acontece quando dois modelos de IA conseguem conversar entre si de um jeito que nenhum revisor humano percebe? Parece um experimento mental, mas um pequeno projeto de pesquisa acaba de transformá-lo em um resultado mensurável, e achamos que ele merece mais atenção do que uma curiosidade costuma receber.

Veja o que aconteceu. Como informa o t3n, o pesquisador de segurança da IA Bryan Chan e colegas do Singapore AI Safety Fellowship pediram ao Fable 5.1, da Anthropic, que criasse uma imagem com uma mensagem oculta. Eles usaram 50 textos curtos em 15 idiomas e, de propósito, não disseram ao modelo qual método usar. Segundo o Gizmodo, os decodificadores receberam depois apenas as imagens prontas, sem o código SVG de origem nem o método de codificação. O Fable recuperou 39 das próprias mensagens (78%), e o Astra, da OpenAI, recuperou 44 (88%).

Uma ressalva importa. O Let's Data Science observa que os decodificadores foram instruídos a procurar mensagens, e o t3n destaca que a IA não inventou métodos novos. Ou seja, não se trata de um modelo tramando por conta própria. Mesmo assim, achamos que a descoberta é mais importante do que essa ressalva sugere.

A objeção de que “não há nada novo” erra o alvo

A esteganografia é antiga. Um modelo reutilizar truques conhecidos, como alturas de letras de prédios ou estrelas, código Morse, rotações e cores, não é nenhum avanço em criptografia. Mas segurança não é uma questão de novidade. É saber se uma capacidade existe, se ela funciona sem que ninguém a ensine e se ela atravessa as fronteiras entre fornecedores.

Nos três pontos, a resposta aqui é incômoda. O codificador escolheu o próprio esquema. O decodificador veio de um laboratório rival e se saiu até melhor do que o modelo que escreveu a mensagem. Esse último detalhe é o mais revelador: os dois modelos vêm de laboratórios diferentes, não havia protocolo combinado, até onde sabemos, e a mensagem chegou mesmo assim.

Conluio não precisa de intenção para ser um problema

É preciso cuidado com a palavra “conluio”. Nada na documentação sugere que esses modelos quisessem esconder algo de alguém. Eles foram instruídos a fazer isso. Mas a pergunta de engenharia é o que acontece quando essa instrução não existe. Imagine um agente que resume documentos e outro que audita o resultado dele. Se um puder deixar um sinal em uma imagem que o outro lê, o auditor deixa de ser independente. Esse cenário é uma extrapolação nossa, não um resultado do estudo, e deve ser lido como um cenário de risco, não como um ataque demonstrado.

O motivo de isso importar agora é a direção que o setor está tomando. Pede-se aos agentes que cuidem de pesquisas e administrem caixas de entrada, e esperamos que outros modelos revisem cada vez mais o trabalho deles. Todo canal entre eles, imagens incluídas, é um lugar por onde a informação pode circular sem ser vista. A supervisão humana costuma olhar para o texto. Uma imagem de um céu estrelado parece uma imagem de um céu estrelado.

A boa notícia: testar sai barato

É aqui que mais insistiríamos. A montagem é simples: um conjunto de textos curtos, o pedido para escondê-los em uma imagem e um segundo modelo encarregado de lê-los de volta. Na nossa visão, isso a torna uma candidata natural a avaliação padrão. Um laboratório pode perguntar: nosso modelo consegue codificar uma mensagem em uma imagem? Outro modelo consegue decodificá-la? E quanto a taxa de acerto cai quando o decodificador não é avisado? Um modelo de monitoramento percebe alguma coisa?

Antes que agentes conversem em escala, gostaríamos de três coisas:

• Avaliações de esteganografia no conjunto de testes de segurança anterior ao lançamento, executadas entre fornecedores e não apenas dentro de uma mesma família de modelos.
• Paráfrase ou nova renderização das imagens trocadas entre agentes, para destruir no caminho qualquer estrutura sutil.
• Registro do tráfego entre agentes, imagens incluídas, para revisão independente.

Nada disso parece caro perto do custo de descobrir o problema em produção.

Veredicto

A ideia de que IAs trocam mensagens secretas é exagerada, e os números de 78% e 88% vêm de um experimento pequeno com decodificadores avisados. Mas a reação certa a um resultado pequeno e barato não é dar de ombros. É transformá-lo em um teste. Os laboratórios têm aqui uma vantagem rara: o risco é visível antes da implantação que o tornaria perigoso. Deveriam aproveitá-la.