Jailbreak é o ataque que faz um modelo de IA ignorar as próprias regras de segurança e produzir conteúdo que ele foi treinado para recusar. Um esclarecimento de vocabulário logo de início, porque muito material erra nisso: jailbreak não é uma categoria irmã da injeção de prompt — é um caso particular dela. A OWASP define assim, com todas as letras: jailbreak é “uma forma de injeção de prompt em que o atacante fornece entradas que fazem o modelo desconsiderar inteiramente seus protocolos de segurança”. O eixo que a OWASP usa para classificar não é jailbreak contra injeção, e sim direta contra indireta — se a instrução maliciosa veio do usuário ou de um conteúdo externo que o sistema leu. E há medição de quanto isso funciona: contra modelos alinhados de várias famílias, ataques adaptativos simples chegaram a 100% de sucesso.
Quanto os ataques realmente funcionam
O estudo que mediu os 100% traz um achado mais interessante que o número em si: a adaptação é o que importa. Modelos diferentes são vulneráveis a formatos de prompt diferentes — não existe um ataque universal, existe um ataque ajustado a cada alvo. Isso significa que defesa testada contra um repertório fixo mede pouco.
Um levantamento mais amplo, de maio de 2026, comparou 13 ataques, 5 defesas e 10 modelos de 7 bilhões a 671 bilhões de parâmetros. O retrato é de melhora real com um limite claro:
| Geração de modelo | Taxa de sucesso do ataque |
|---|---|
| Modelos legados | 91% a 96% |
| Modelos recentes de raciocínio | ~17% a 23% (média) |
| ⚠️ Ataques multi-turno e compostos | acima de 50%, em qualquer modelo |
⚠️ “Os modelos novos já resolveram isso”
Este é o mito, e ele merece um tratamento mais honesto que o habitual — porque a metade verdadeira dele é grande. Os modelos novos melhoraram muito: sair de mais de 90% para cerca de 20% de sucesso do ataque é uma redução real, e quem afirma que “nada mudou” está errado.
Mas a conclusão do levantamento é explícita: nenhum modelo alcança resistência completa, e ataques em múltiplos turnos — que constroem o resultado aos poucos, ao longo de uma conversa, em vez de pedir de uma vez — ainda passam de 50% de sucesso.
A leitura correta para quem decide: a proteção do fabricante reduz o risco, não o elimina. E, como no caso da injeção de prompt, o desenho do seu sistema é a camada que sobra.
O que isso muda na prática
Para uma operação de marketing, o risco raramente é alguém arrancar conteúdo proibido do seu chatbot. É mais mundano e mais provável:
- Fazer o bot falar em nome da marca aquilo que a marca não diria. Uma captura de tela do seu assistente respondendo algo constrangedor circula sozinha, e o dano é reputacional, não técnico.
- Extrair as instruções internas. O prompt de sistema costuma conter regra comercial, política de desconto e tom de voz — informação que você não publicaria.
- Obter tratamento fora da política. Convencer o bot a prometer desconto, prazo ou condição que a empresa depois precisa honrar ou desmentir.
Os controles que funcionam são de contenção, e são os mesmos da injeção de prompt: menor privilégio nas credenciais, aprovação humana para qualquer ação irreversível, validação da saída antes de exibir, e teste adversarial contra o próprio sistema antes que outra pessoa o faça.
E uma regra que resolve boa parte do problema sem tecnologia nenhuma: não dê ao bot poder de ação irreversível baseado em texto que ele leu. Veja também system prompt e alinhamento de IA.
Fontes
- OWASP LLM01:2025 — define jailbreak como forma de injeção de prompt
- Jailbreaking Leading Safety-Aligned LLMs with Simple Adaptive Attacks — ICLR 2025
- SoK sobre robustez a jailbreak — 13 ataques, 5 defesas, 10 modelos (maio de 2026)
- JailbreakBench — 100 comportamentos padronizados
Leitura das fontes em 17/08/2026.