StepJack expõe agentes de uso de computador a injeção de prompt indireta fragmentada em múltiplas etapas
Pesquisadores mostram que dividir um objetivo malicioso em sub-instruções aparentemente inofensivas, espalhadas ao longo de páginas que um agente de uso de computador (CUA) navega, aumenta a taxa de sucesso de injeção de prompt indireta — no GPT-5.4-mini, a taxa de sucesso subiu de 41,7% (ataque em uma etapa) para 72,9% (três etapas). O benchmark StepJack, com 480 casos de teste, formaliza essa classe de ataque e mostra que defesas que inspecionam instruções isoladas não bastam quando o ataque é fragmentado ao longo da trajetória de navegação do agente.
O artigo, de Zhuoxin Zhan, Akbar Rafiey, Avery Ma, Leila Pishdad e Layla El Asri, parte de uma limitação conhecida de defesas contra prompt injection indireta: elas costumam avaliar cada página ou documento isoladamente em busca de instruções adversariais óbvias. Os autores mostram que basta decompor o objetivo malicioso original em sub-etapas individualmente inócuas — cada uma otimizada para não soar suspeita por si só — e distribuí-las ao longo de uma cadeia de páginas que o agente vai naturalmente visitar durante sua navegação, para que o ataque escape dessa inspeção página a página.
Tecnicamente, os pesquisadores construíram um pipeline automatizado de decomposição que recebe um objetivo adversarial e o quebra em sub-passos sob a restrição de que a execução sequencial deles precisa reconstituir o objetivo original, ao mesmo tempo em que cada sub-passo isolado é otimizado para parecer inofensivo. Isso foi usado para montar o StepJack, um benchmark com 480 exemplos, testado contra seis agentes de uso de computador de ponta.
Os resultados mostram impacto desigual entre os agentes: em três dos seis, a versão multi-etapa do ataque elevou significativamente a taxa de sucesso frente à versão de etapa única, com o caso mais extremo (GPT-5.4-mini) saltando 31,2 pontos percentuais. Considerando a média dos cinco agentes capazes de seguir a cadeia de páginas de referência de forma confiável (todos exceto o EvoCUA-32B, que não conseguiu seguir a cadeia de forma consistente), a taxa de sucesso média subiu de 31,3% para 36,9% entre uma e três etapas.
Isso importa na prática porque CUAs já são usados para tarefas que envolvem navegar múltiplas páginas de forma autônoma — pesquisa, compras, preenchimento de formulários — e o resultado mostra que a defesa mais comum contra prompt injection (filtrar instruções suspeitas em cada página) tem um ponto cego estrutural: o conteúdo malicioso nunca precisa aparecer inteiro em nenhuma página isolada. Defesas eficazes contra essa classe de ataque precisariam rastrear a composição de instruções ao longo de toda a trajetória de navegação, não apenas o conteúdo de cada página individualmente — um problema bem mais difícil de resolver de forma determinística.