Novo modelo de sete componentes busca padronizar a análise técnica de ataques de prompt injection
Um framework de análise estruturada decompõe ataques de prompt injection em sete componentes técnicos (carrier, vetor de entrega, ocultação, quebra de contexto, escalada de privilégio, payload e canal de retorno), em vez de tratá-los como strings literais. A proposta mira defensores, equipes de red team e de threat intelligence, permitindo rotular, comparar e mutar ataques com base na intenção do atacante — e é ilustrada com casos reais como o EchoLeak (CVE-2025-32711).
Quatro anos depois de o prompt injection ter sido identificado como classe de ataque, a maior parte da documentação disponível — em relatórios de incidentes, feeds de threat intel e até em pesquisa acadêmica — ainda trata os ataques como strings de texto capturadas literalmente, o que é frágil: pequenas variações de fraseologia quebram qualquer correspondência baseada em padrões, mesmo quando o efeito final sobre o modelo é idêntico.
O artigo propõe corrigir isso com um modelo de sete componentes — carrier (onde o payload é embutido), vetor de entrega, ocultação, quebra de contexto, escalada de privilégio, payload e canal de retorno — que descreve a intenção e o efeito do ataque (quais ferramentas são alvo, quais "sinks" são atingidos) em vez da superfície textual. A justificativa técnica é que modelos de linguagem compilam formulações muito diferentes em linguagem natural para a mesma ação executável, então rotular pela ação, não pela frase, é o que realmente generaliza entre variantes de um mesmo ataque.
O framework é posicionado como unificador de esforços anteriores parciais — a decomposição de payload do HOUYI e a "Promptware Kill Chain" — e mapeia diretamente para esquemas de CTI usados pela indústria, o que facilita a adoção por equipes que já trabalham com STIX/MITRE-like taxonomies. Os autores demonstram a aplicação com exemplos reais, incluindo o caso EchoLeak (CVE-2025-32711, uma vulnerabilidade de exfiltração de dados via prompt injection em assistente de IA integrado a e-mail) e uma amostra de malware que usa técnicas de evasão voltadas especificamente para análise assistida por IA.
O valor prático do trabalho está em oferecer um vocabulário comum e comparável entre relatórios de vulnerabilidade, permitindo que defensores identifiquem quando duas campanhas de prompt injection aparentemente diferentes na superfície compartilham o mesmo vetor de entrega ou mecanismo de escalada de privilégio — o que hoje é feito de forma ad hoc, caso a caso, dificultando correlação e resposta coordenada entre organizações.