Revisão sistemática de 85 estudos mostra que pesquisa de ataque a agentes de IA supera pesquisa de defesa em quase 4 para 1
Uma revisão sistemática seguindo o protocolo PRISMA 2020, que analisou 743 artigos e reteve 85 estudos publicados entre 2023 e 2025 sobre segurança de LLMs agênticos, encontra um desequilíbrio expressivo: pesquisa de ataque supera pesquisa de defesa numa proporção de 3,9 para 1, e vulnerabilidades na camada de ação (execução de código, abuso de ferramentas, fuga de sandbox) recebem atenção desproporcionalmente menor (4,7% dos estudos) do que vulnerabilidades de percepção como prompt injection e jailbreak (66%), apesar do risco real estar mais concentrado na camada de ação. Os autores propõem uma taxonomia de quatro camadas e identificam sete problemas em aberto centrados em contenção.
O artigo não descreve um novo ataque, mas faz um mapeamento sistemático do campo de segurança de agentes de IA — sistemas que deixaram de ser interfaces de conversa e passaram a planejar em múltiplos passos, invocar ferramentas, executar código e manter memória persistente, muitas vezes com privilégios reais sobre APIs, arquivos e bancos de dados. A pergunta motivadora é direta: dado que um passo de raciocínio comprometido pode disparar acesso não autorizado a dados, mudanças de estado irreversíveis ou falhas em cascata, a pesquisa de segurança está de fato cobrindo os riscos que mais importam?
Metodologicamente, os autores seguiram o protocolo PRISMA 2020, padrão para revisões sistemáticas, triando 743 registros em seis bases de dados e retendo 85 artigos relevantes de 2023 a 2025. Da análise emerge uma taxonomia de quatro camadas — percepção, raciocínio, ação e interação — mapeando 13 tipos de vulnerabilidade distintos entre essas camadas, o que por si só é útil como vocabulário comum para um campo ainda fragmentado entre subcomunidades de segurança de LLM, segurança de sistemas multiagente e segurança de software tradicional.
O achado mais acionável é o desequilíbrio de cobertura: prompt injection, jailbreak e perturbação adversarial (camada de percepção) dominam 66% da literatura, enquanto abuso de ferramentas, injeção de código e fuga de sandbox (camada de ação) — os riscos que mais diretamente resultam em dano concreto, já que é ali que o agente efetivamente age no mundo real — somam apenas 4,7%. Pesquisa de ataque supera pesquisa de defesa em quase 4 para 1, um padrão consistente com o que se observa em segurança ofensiva de software tradicional em fases iniciais de um campo, mas preocupante quando o campo já está sendo usado em produção.
Na prática, esse mapeamento serve como guia de prioridades para quem aloca orçamento de pesquisa ou de red teaming interno: se a maior parte do risco real está na camada de ação, mas a maior parte do esforço acadêmico está na camada de percepção, existe uma lacuna estrutural entre onde a pesquisa investe atenção e onde o dano realmente acontece — e os sete problemas em aberto listados pelos autores, centrados em isolamento e contenção, são essencialmente uma lista de tarefas para fechar essa lacuna.