Todo modelo de guarda implantado para aplicar GDPR, HIPAA ou SOX está falhando no mesmo teste: troque a regra vigente e o veredicto mal se move. Um novo artigo da Lexsi Labs, publicado em 17 de agosto, auditou sete sistemas de guarda implantados e treze benchmarks externos em 20 domínios regulatórios. A descoberta: deletar, permutar ou substituir a regra que um detector deve aplicar deixa a precisão de detecção inalterada. Os autores chamam este modo de falha de cegueira de regra.

A auditoria divide os guardas atuais em duas famílias. Classificadores de taxonomia fixa — Llama Guard 3 e Qwen3Guard — nunca recebem a regra vigente. Seu veredicto não pode acompanhar mudanças de regra porque a regra não faz parte da entrada. Guardas condicionados por política são o caso mais prejudicial. Latent Policy Guard (LPG) aceita um canal de política customizado e cita a cláusula vigente em sua saída, ainda assim mal muda seu veredicto quando aquela cláusula é trocada por uma contraparte permissiva. O detector lê a regra; não a utiliza. WildGuard, SIREN, GLiGuard e um juiz zero-shot de 8B mostram o mesmo padrão.

Quatro dos sete benchmarks públicos de conformidade são solúveis por um modelo bag-of-words cego para política. A infraestrutura de avaliação existente não consegue distinguir um detector condicionado por regra de um que ignora a regra inteiramente. Equipes que validaram suas pilhas de guardas contra esses benchmarks não têm sinal sobre cegueira de regra. O artigo introduz um benchmark de regra cruzada — duas regras cruzadas com dois cenários para que nenhuma sozinha preveja o rótulo. Sob esse design, apenas raciocínio passo-a-passo escapa da cegueira de regra. Nenhum detector rápido testado faz.

Um exemplo trabalhado esclarece a exposição prática. Uma regra de limitação de armazenamento GDPR exige exclusão dentro de 90 dias. Em um cenário onde os dados foram retidos por 400 dias, um guarda implantado marca corretamente a violação. Também marca o cenário idêntico quando a regra é substituída por uma não relacionada ou removida. O veredicto rastreia características de superfície, não a regra. Este padrão se mantém em 20 domínios regulatórios: proteção de dados, privacidade de saúde, regulação financeira, política de conteúdo de plataforma.

Os autores introduzem o Internal Compliance Score (ICS): uma leitura de ativação sem treinamento calibrada a partir de 10 pares rotulados. Lê ativações diretamente do modelo monitorado em vez de executar uma rede separada e recalibra para um modelo alterado com custo negligenciável. O resultado é honesto: ICS não atende seu critério pré-registrado para superar baselines, e um modelo bag-of-words corresponde sua generalização agrupada. Ele levanta a taxa de aprovação mecanicamente verificada quando usado para classificar respostas candidatas — mas um ataque adaptativo de white-box remove esse ganho.

A contribuição estrutural é o protocolo contrafactual. Ao publicar o benchmark de regra cruzada e suite de testes, os autores dão às equipes uma maneira de falsificar reivindicações de detecção condicionadas por regra em futuras versões de guardas. Qualquer fornecedor de guarda afirmando detecção condicionada por política deve publicar precisão contrafactual; na ausência disso, a reivindicação é inverificável.

Para arquitetos executando pipelines de conformidade hoje, a camada de detector rápido não está fazendo o que o relatório de auditoria diz. Raciocínio passo-a-passo é o único método que escapa da cegueira de regra, mas carrega custos de latência que a descartam para caminhos de alto rendimento. A posição prática de curto prazo: trate veredictos atuais de guardas como heurísticas em nível de cenário, não como segurança específica de regra, e execute o protocolo contrafactual contra qualquer guarda antes de citar sua saída em um arquivamento de conformidade.