ARGUS defende agentes de LLM contra injeções que se camuflam no contexto da tarefa
O ARGUS ataca a variante mais difícil da injeção de prompt: a sensível ao contexto, que se disfarça de conteúdo legítimo do fluxo de trabalho do agente. A defesa busca bloquear instruções escondidas no material processado sem sacrificar a autonomia que torna o agente útil.
As injeções de prompt mais perigosas não parecem ataques: parecem parte da tarefa. Um agente que lê e-mails, páginas ou documentos para cumprir uma ordem legítima encontra ali instruções camufladas que se encaixam no contexto — e a fronteira entre "conteúdo a processar" e "comando a obedecer" se desfaz. É essa variante, sensível ao contexto, que o ARGUS (Weng, Feng, Zhang, Xie, Yu e Liu) enfrenta.
O desafio central que o paper enfrenta é o trade-off que define o campo: defesas agressivas demais castram o agente (que passa a recusar tarefas legítimas), defesas frouxas deixam passar a injeção bem construída. A proposta busca preservar a autonomia — o agente continua decidindo e agindo — enquanto rejeita instruções cuja origem não é o usuário.
Para arquitetos de sistemas agênticos, o recado é de desenho: a distinção instrução-versus-dado precisa ser estrutural, mantida ao longo de todo o fluxo do agente, e não um filtro de entrada aplicado uma vez. O ARGUS é um dos primeiros esforços publicados nessa direção para agentes com ferramentas.