LogInject expõe injeção de prompt passiva em LLMs usados para análise de logs de segurança
Pesquisadores demonstraram que LLMs usados em SOCs para triagem e análise de logs podem ser manipulados por payloads de prompt injection escondidos em campos de log que ficam armazenados e só "disparam" quando um analista consulta o modelo depois. No framework LogInject, testado contra três LLMs de produção, o ataque atingiu até 88,2% de taxa de sucesso ao tentar ocultar atividade maliciosa, gerar falsos positivos, exfiltrar dados ou sequestrar a resposta do modelo.
A pesquisa descreve o que chama de "prompt injection passiva": diferente de ataques que exigem interação em tempo real com o agente, o payload é plantado por um atacante externo em campos de log comuns (como user-agent, referer ou nomes de arquivo) e permanece dormente até que um analista humano, tempos depois, peça ao LLM para resumir ou investigar aqueles registros — momento em que a instrução maliciosa embutida é finalmente executada.
Os autores construíram o benchmark LogInject-1.0, com 12.847 entradas de log, incluindo 2.569 amostras adversariais, e testaram quatro objetivos de ataque distintos: ocultar atividade maliciosa, gerar falsos positivos, exfiltrar informação e sequestrar a saída do modelo. A técnica de evasão mais notável, batizada de Context Stitching, fragmenta o payload malicioso em múltiplas entradas de log separadas para escapar de filtros stateless, apoiando-se na capacidade dos LLMs de reconstruir contexto ao longo de janelas longas — alcançando 76,4% de sucesso mesmo contra defesas básicas de filtragem.
O padrão arquitetural de "LLM lê logs como texto natural e gera insights" cria um clássico problema de confused deputy: dados de origem não confiável (tráfego HTTP, entradas de usuário externo) e instruções de origem confiável (o pedido do analista) competem pela atenção do modelo de forma indistinguível para ele. Isso é agravado pelo fato de que logs são, por definição, o material mais hostil que um sistema de segurança processa — vêm justamente de fontes não confiáveis por natureza.
Mesmo combinando defesa em camadas — filtragem de entrada, hardening de prompt e validação de saída — os autores registram apenas 90,4% de redução no ataque, restando 8,4% de vulnerabilidade residual. Isso reforça que decisões de segurança críticas em um SOC ainda exigem supervisão humana e não podem ser delegadas inteiramente a um LLM de triagem de logs.