ChainWatch usa modelo de Markov oculto para detectar ataques em multiplos passos contra agentes MCP
Pesquisadores propoem o ChainWatch, um framework que modela a progressao de ataques contra agentes de IA baseados em Model Context Protocol (MCP) como uma cadeia de seis estagios, detectando sequencias maliciosas compostas por chamadas de ferramenta individualmente inofensivas. A abordagem ataca diretamente a limitacao das defesas atuais, que inspecionam cada chamada isoladamente e por isso nao enxergam padroes de ataque distribuidos ao longo de uma sessao.
O Model Context Protocol se tornou um padrao comum para conectar agentes de IA a ferramentas, bancos de dados e servicos externos, mas essa conectividade abre espaco para ataques de multiplos passos: um adversario pode compor invocacoes de ferramenta individualmente benignas de forma que, isoladas, nenhuma delas dispare um alerta, mas cuja sequencia complete um objetivo malicioso. Defesas por-chamada, que e o padrao hoje, simplesmente nao tem visibilidade sobre esse tipo de padrao distribuido no tempo.
O ChainWatch modela a progressao do ataque usando uma cadeia de seis estagios inspirada no conceito classico de kill chain, e aplica um Hidden Markov Model para classificar sequencias de chamadas de ferramenta como benignas ou maliciosas. Um esquema de extracao de caracteristicas com 20 dimensoes captura sinais comportamentais das interacoes com ferramentas, e regras de deteccao disparam quando uma sessao mostra progressao suspeita atraves de multiplos estagios da cadeia -- nao apenas em um unico evento isolado. O modelo de ameaca cobre ataques sequenciais diretos, cadeias de injecao de prompt indireta (onde a instrucao maliciosa vem de conteudo externo processado pelo agente) e ataques hibridos multi-estagio.
Os autores demonstram a abordagem usando cinco cenarios de ataque representativos da literatura de seguranca, mostrando que o ChainWatch consegue identificar cadeias que evadem mecanismos de seguranca tradicionais por-chamada. Isso e relevante porque reflete uma tendencia mais ampla em seguranca de agentes de IA: a unidade de analise esta migrando de "esta chamada individual e segura?" para "esta sequencia de acoes, no contexto da sessao inteira, revela um objetivo malicioso emergente?" -- um problema estruturalmente mais dificil, mas que se aproxima de como analistas humanos de SOC ja pensam sobre cadeias de ataque tradicionais aplicadas agora a comportamento de agentes autonomos.