Pipeline automatiza hardening pré-deploy de aplicações agenticas e reduz vazamento de dados por prompt injection em até 100%
Sistemas agenticos que combinam planejamento por LLM com acesso a ferramentas externas sofrem de falhas na fronteira entre instrução e dado, o que abre espaço para vazamento de dados e uso indevido de ferramentas via prompt injection. Os autores propõem um pipeline de pré-implantação que varre templates de prompt, interfaces de ferramenta e código de invocação em busca de padrões de risco, aplica correções pouco invasivas e valida o resultado com ataques adversariais automatizados. Em cinco aplicações reais e no benchmark AgentDojo, o pipeline eliminou vazamentos sob jailbreaks básicos e reduziu em 91% os vazamentos sob manipulação mais agressiva, sem exigir enforcement de política em tempo de execução.
O pipeline opera em três estágios sequenciais. Primeiro, a varredura examina templates de prompt, interfaces de ferramentas e o código que efetivamente invoca essas ferramentas, procurando padrões que habilitam vazamento de dados, como falta de separação clara entre instrução e dado de entrada. Segundo, o estágio de hardening prioriza as ferramentas de maior risco e aplica mitigações minimamente invasivas: restrição de esquema, sanitização de fronteira entre instrução e dado, controle de acesso por allowlist de ferramentas e verificações de privilégio mínimo. Terceiro, a validação gera automaticamente ataques que imitam jailbreaks, sobrescrita de instrução e manipulação direcionada a ferramentas, além de variações benignas da mesma tarefa, para confirmar que a funcionalidade pretendida da aplicação continua intacta depois do hardening.
O diferencial em relação a abordagens puramente reativas é que a correção é aplicada antes do deploy, no nível de configuração e código, em vez de depender inteiramente de um guarda-corpo sempre ativo em tempo de execução, que adiciona latência e pode ser contornado dinamicamente por um ataque suficientemente adaptativo. Os autores avaliaram o pipeline em cinco aplicações agenticas reais, cobrindo múltiplos codebases e agentes heterogêneos, além do benchmark padrão AgentDojo.
Os números reportados são fortes: 100% de redução em vazamentos sob ataques básicos de jailbreak e sobrescrita de instrução, e 91% de redução sob condições de manipulação mais agressiva induzida por stress, sem necessidade de enforcement contínuo de política. A diferença entre esses dois números importa: contra ataques simples o pipeline efetivamente fecha o vazamento, mas contra pressão adversarial mais sofisticada ainda resta uma fração de vazamento residual, o que posiciona esse hardening pré-deploy como uma camada de mitigação forte e de baixo custo operacional, e não como substituto completo de monitoramento em tempo de execução para implantações de alto risco.