CPInj expõe injeção de prompt em otimização colaborativa de prompts e mostra que as defesas atuais não seguram o ataque
A Otimização Colaborativa Textual de Prompts (TCPO) deixa múltiplos clientes aprimorarem prompts de LLM de forma descentralizada, mantendo seus dados locais, mas o texto livre trocado nesse processo cria uma superfície de ataque nova. O CPInj mostra que um cliente malicioso consegue contaminar o prompt global agregado de forma que a instrução maliciosa sobrevive à agregação no servidor, resiste à otimização subsequente feita por clientes benignos e evade defesas de detecção, degradando o desempenho de todos os outros participantes.
TCPO estende o Textgrad para um cenário federado, onde vários clientes colaboram para melhorar um prompt compartilhado sem centralizar seus dados de treino, cada um contribuindo com atualizações textuais que são agregadas no servidor. O CPInj mira exatamente esse laço de otimização colaborativa, e não uma única chamada de inferência isolada como a maioria dos ataques de prompt injection já estudados.
O desafio técnico do ataque é que a instrução maliciosa precisa sobreviver a três camadas de defesa em sequência: primeiro a própria agregação no servidor, depois a otimização subsequente feita por clientes benignos que tentam melhorar o prompt (o que normalmente tenderia a "limpar" ruído), e por fim mecanismos de detecção do lado do servidor. Os autores testaram o ataque em três famílias de LLM e cinco tarefas de raciocínio em matemática, lógica e medicina, mostrando que ele se mantém eficaz nesse ambiente adverso.
O ponto que importa na prática é o modelo de confiança: TCPO é vendido como forma de melhorar prompts compartilhados preservando privacidade, sem centralizar dados, mas esse trabalho mostra que um único participante malicioso consegue degradar o artefato compartilhado para todos os outros, contaminando algo que por desenho é tratado como consenso coletivo. Os próprios autores propõem uma defesa, o APAgg, que "purifica" instruções maliciosas e recupera parte da utilidade do TCPO, mas admitem explicitamente que o ataque "permanece altamente eficaz e está longe de ser totalmente resolvido", um reconhecimento honesto de que esse é um problema aberto, relevante para qualquer equipe avaliando adotar otimização colaborativa de prompts hoje.