SoK mapeia superfície de ataque completa da IA agêntica: de RAG envenenado a manipulação entre agentes

O artigo é uma sistematização (SoK), não uma nova técnica de ataque — seu valor está em consolidar, num único mapa de fronteiras de confiança, os riscos já dispersos pela literatura sobre sistemas de IA agêntica: LLMs combinados a ferramentas externas, conhecimento recuperado via RAG e loops de decisão autônomos e multiagente. Os autores argumentam que cada uma dessas extensões de capacidade — que tornam o sistema mais útil — também amplia a superfície de ataque disponível, e que a literatura de segurança tradicional de IA, focada em modelos isolados, não cobre adequadamente essas novas fronteiras.

A taxonomia proposta cobre quatro grandes famílias: injeções em nível de prompt, incluindo indireta via conteúdo de terceiros que o agente processa; envenenamento de base de conhecimento, ataques contra o índice de RAG; exploração de ferramentas e plugins, o agente sendo induzido a chamar uma ferramenta de forma prejudicial ou uma ferramenta maliciosa sendo integrada à sua caixa de ferramentas; e ameaças emergentes de sistemas multiagente, quando o comportamento malicioso surge da interação entre agentes, não de um componente isolado, e portanto escapa de análises que tratam cada agente como uma unidade de confiança independente.

Uma contribuição prática do trabalho é propor métricas quantitativas de postura de segurança — como Unsafe Action Rate (taxa de ações inseguras executadas) e Privilege Escalation Distance (quão longe um comprometimento inicial consegue escalar privilégios) — que permitem comparar diferentes arquiteturas de agentes e diferentes conjuntos de defesas de forma padronizada, em vez de depender apenas de exemplos de jailbreak isolados como evidência de (in)segurança. Os autores também avaliam defesas existentes — sanitização de entrada, filtros de recuperação, sandboxes, controle de acesso e guardrails de IA — apontando onde a proteção ainda é insuficiente frente à taxonomia de ataques mapeada.

Para times que já estão implantando agentes de IA em produção, o valor prático é ter, num único documento, um checklist de segurança faseado (hardening em tempo de design, monitoramento em runtime, resposta a incidentes) construído a partir da síntese de dois anos de literatura dispersa, em vez de ter que reconstruir esse mapa de riscos internamente a partir de dezenas de artigos isolados. É o tipo de referência que vale manter como base de comparação para avaliação de risco de novos deployments agênticos, e não apenas como leitura pontual.