Recusa de LLMs está concentrada em camadas MLP, aponta estudo

O que aconteceu

O artigo "Localizing Safety Alignment: MLP Layers and Mid-Network Blocks Encode Refusal Behavior in Large Language Models" foi submetido ao arXiv em 12 de agosto de 2026 (arXiv:2608.11583). Os pesquisadores transplantaram pesos de modelos alinhados para modelos base não alinhados, em diferentes níveis de granularidade, usando dois pares de modelos de pesos abertos e quatro benchmarks de segurança. O resultado principal: substituir parâmetros das camadas MLP — os perceptrons multicamadas que processam informação dentro de cada bloco do transformador — recuperou significativamente mais recusa a prompts maliciosos do que substituir parâmetros de atenção, com ganho de pelo menos 2,7 vezes em todos os benchmarks. Dentro do stack de MLP, o bloco que cobre as camadas 8 a 11 foi o primeiro selecionado em todas as seis buscas greedy realizadas sobre os pares modelo-dataset.

Contexto

O alinhamento de segurança em LLMs costuma ser tratado como uma propriedade distribuída por toda a rede. A fragilidade prática desse alinhamento — que cede diante de jailbreaks e pequenas variações de prompt — levou os autores a testar se a recusa estaria concentrada em um conjunto menor de parâmetros. A hipótese se confirmou nos dois pares de modelos testados, com um padrão consistente de concentração no meio da rede. O estudo parte justamente da contradição entre a suposição teórica e o comportamento observado na prática.

Por que importa

Para quem desenvolve ou ajusta LLMs de pesos abertos — inclusive no Brasil, onde esses modelos são base de muitos produtos e serviços — a localização da recusa muda a forma de pensar segurança. Em vez de depender apenas de fine-tuning amplo e caro, é possível planejar intervenções direcionadas nas camadas relevantes. A mesma descoberta, porém, tem dois gumes: se a recusa está concentrada em poucos blocos, quem busca contorná-la também ganha um mapa mais preciso de onde atacar.

Impacto

O estudo mostra que a composição dos componentes de segurança não é aditiva. Em cinco das seis trajetórias greedy, adicionar mais blocos alinhados reduziu a performance de recusa. Em alguns casos, subconjuntos seletivos de blocos superaram o transplante completo de MLP em recusa a prompts maliciosos, em over-refusal benigno ou em ambos. Na prática, mais parâmetros alinhados não significam necessariamente mais segurança. As ordens de transplante transferidas para o benchmark OR-Bench também variaram conforme o benchmark usado para derivá-las, evidenciando um trade-off entre precisão e cobertura que depende do benchmark.

O que muda

A visão de que a recusa é localizada e sensível a interações entre blocos permite tratar o alinhamento como algo passível de diagnóstico: identificar as camadas responsáveis, medir sua contribuição e ajustá-las sem re-treinar o modelo inteiro. Isso também dá a times de segurança uma base concreta para investigar por que alguns jailbreaks funcionam melhor em determinados modelos.

O que vem agora

Os autores apontam que os resultados oferecem pistas para intervenções de segurança direcionadas, mas o trabalho é inicial e ainda não passou por revisão por pares. Os próximos passos naturais incluem repetir os experimentos em mais famílias de modelos e verificar se a concentração nas camadas 8 a 11 se mantém em arquiteturas diferentes.

Fontes

• arXiv:2608.11583 — Localizing Safety Alignment: MLP Layers and Mid-Network Blocks Encode Refusal Behavior in Large Language Models (https://arxiv.org/abs/2608.11583)