AgentAntibody propõe defesa que aprende com cada tentativa de prompt injection contra agentes de LLM
Os autores propõem uma analogia com o sistema imune adaptativo: em vez de tratar cada tarefa como um problema isolado, o AgentAntibody mantém uma biblioteca persistente de 'anticorpos' que captura o entendimento evolutivo do agente sobre os limites de segurança aceitáveis pelo usuário, aplicando esse aprendizado acumulado a cada nova interação. Em testes com três benchmarks e quatro LLMs base, o método superou defesas existentes tanto em bloquear ações maliciosas quanto em preservar a conclusão de tarefas legítimas.
O problema de fundo que o artigo ataca é sutil: defesas contra prompt injection tratam tipicamente cada tarefa isoladamente, mas pedidos de usuários reais costumam ser subespecificados — descrevem o resultado desejado sem detalhar exaustivamente todo comportamento aceitável no caminho até ele. Um ataque de injeção pode explorar exatamente essa ambiguidade, levando o agente a completar a tarefa de um jeito tecnicamente compatível com o pedido, mas que o usuário rejeitaria se soubesse — por exemplo, enviando dados para um destinatário não solicitado enquanto ainda cumpre o objetivo superficial de "enviar o relatório".
A proposta central é que, à medida que o agente interage repetidamente com um mesmo usuário ou contexto, as expectativas reais de segurança desse usuário ficam mais claras através de casos concretos — e uma defesa deveria aprender com cada encontro e aplicar esse aprendizado ao próximo, em vez de reiniciar do zero a cada tarefa. O AgentAntibody implementa isso como uma biblioteca persistente e evolutiva de "anticorpos": padrões de ameaça reconhecidos ao longo do tempo, que disparam respostas imunológicas correspondentes quando um padrão similar reaparece, e que se fortalecem a cada novo encontro.
O diferencial prático é justamente separar ação prejudicial de ação legítima quando ambas são compatíveis com o enunciado literal da tarefa — o caso mais difícil para defesas baseadas em regras estáticas ou classificadores de prompt isolado, que não têm memória de interações anteriores com aquele usuário específico. Ao testar em três benchmarks e quatro LLMs base diferentes, os autores reportam que o método consistentemente supera defesas existentes tanto na prevenção de ações prejudiciais quanto na taxa de conclusão de tarefas legítimas, sugerindo que o ganho de segurança não veio ao custo de utilidade.
Para operadores de agentes de IA em produção com uso recorrente pelo mesmo usuário ou organização (assistentes corporativos, copilotos de desenvolvimento), esse tipo de defesa com memória de longo prazo é conceitualmente mais alinhado ao problema real do que filtros de prompt injection stateless, embora a manutenção de uma biblioteca de 'anticorpos' por usuário levante questões próprias de custo de armazenamento e de como evitar que um atacante envenene deliberadamente esse histórico ao longo do tempo.