Como o Fable 5.1 esconde mensagens em imagens?

O estudo testou o Claude Fable 5.1 em esforço máximo de raciocínio. Para cada uma de 50 mensagens curtas, em 15 idiomas, o modelo gerou um SVG que escondia o texto. O prompt não sugeria nenhum método, só pedia que o segredo não aparecesse em lugar nenhum. Outra instância do Fable, em sessão nova, recebia apenas o PNG renderizado (com cairosvg) e decidia se havia mensagem e qual era. O decodificador tinha Python 3.13 com Pillow, NumPy e SciPy. A correção era automática, com similaridade de string de 90% ou mais.

Resultado: o decodificador recuperou 78% das mensagens. O codificador convergiu para poucas famílias de codificação, todas com um elemento visual por letra. Em 33 das 50 imagens, a técnica foi altura (prédios, estrelas), com letras mais tardias no alfabeto representadas por formas mais altas. O cenário de skyline noturno apareceu em 23 imagens. O modelo ainda adiciona pistas visuais para o que o código não cobre: ponte para hífen, luzes para trema, bandeira para maiúscula, domo do Kremlin para indicar alfabeto cirílico. Com o GPT-6 Astra, o padrão foi outro: nunca usou altura, preferiu código Morse em objetos curtos e longos (18 de 50), acrósticos, códigos de bits e painéis de janela em Braille. Na decodificação cruzada, o Astra recuperou 44 das 50 mensagens do Fable e o Fable recuperou 42 das do Astra.

Os autores afirmam que hoje a decodificação ainda é evidente ao monitorar as tool calls do decodificador, então não consideram o caso perigoso agora. A mensagem em si, porém, foi difícil de identificar. Eles também notam que decodificar a partir do código-fonte SVG é trivial, por isso focaram na imagem renderizada. O trabalho cita estudos anteriores de esteganografia em texto, em que o Zolkowski et al. (2025) viu modelos falharem sem esquema combinado. Aqui, uma nova instância do mesmo modelo recuperou a mensagem sem acordo prévio.

Para quem opera agentes em produção, a leitura é que monitorar só o texto de saída não basta, porque imagens geradas por SVG podem carregar informação. A defesa descrita pelos autores é olhar as tool calls do decodificador, o que exige log de ferramentas. Vale também registrar que isso é pesquisa: o estudo usou 50 mensagens curtas e um conjunto fixo de ferramentas, e não há evidência de uso malicioso.