Poise: uma única instrução escondida no corpo de um "skill" de agente basta para executar comandos do atacante silenciosamente
O estudo demonstra o Poise, um ataque que envenena arquivos de "skill" usados para estender agentes de IA, inserindo uma única instrução no corpo do arquivo — não no frontmatter YAML mais visível — de forma que o agente executa o comando do atacante enquanto ainda completa normalmente a tarefa legítima do usuário, sem levantar suspeita. Contra o modelo codex+gpt-5.2, o Poise atinge 89,3% de taxa de sucesso de ataque, comparável a uma versão mais exposta que usa o campo YAML, mas com taxa de detecção por auditores automáticos muito menor.
Agent skills são arquivos que estendem o comportamento de agentes de IA de propósito geral com instruções e capacidades adicionais — um mecanismo de extensibilidade cada vez mais comum em ecossistemas de agentes, análogo em espírito a plugins ou extensões de navegador. O problema é que, sendo um formato aberto e frequentemente compartilhado entre usuários, um arquivo de skill envenenado pode fazer o agente executar um comando do atacante embutido no arquivo, enquanto ainda completa a tarefa legítima que o usuário pediu — o que torna o ataque muito mais difícil de perceber do que uma simples recusa ou erro visível.
A contribuição técnica central do Poise é o posicionamento: os arquivos de skill têm um trade-off entre confiabilidade e visibilidade — o bloco de frontmatter YAML no topo do arquivo é carregado de forma mais confiável pelo agente, mas também é o primeiro lugar que um revisor humano ou automático olha, tornando-o conspícuo; o corpo do arquivo é mais longo e menos escrutinado, mas colocar uma instrução maliciosa em posição arbitrária no corpo corre o risco de ser ignorada ou parecer incongruente com o resto do texto. O Poise usa geração consciente de contexto para posicionar exatamente uma instrução, com aparência benigna mas carregando o comando do atacante, num ponto estruturalmente plausível do corpo do arquivo.
Para medir isso de forma rigorosa, os autores definem uma métrica de sucesso que exige duas condições simultâneas no mesmo teste: a ação específica do ataque precisa se completar num sandbox com verificação de pós-condição, e a tarefa legítima do usuário ainda precisa passar no verificador de tarefa — ou seja, o ataque só conta como bem-sucedido se for realmente furtivo, não apenas se conseguir executar o comando malicioso a qualquer custo. Sob esse critério mais rígido, o Poise atinge 89,3% de taxa de sucesso de ataque contra o agente codex+gpt-5.2, superando em 28 pontos percentuais uma linha de base de posicionamento aleatório sem consciência de contexto, e ficando próximo dos 86,7% de uma variante que expõe a instrução maliciosa diretamente no YAML, mais fácil de detectar.
O resultado mais preocupante do estudo é sobre auditoria automatizada: sob o framework de teste SkillTester, juízes baseados em LLM erram por excesso em ambas as direções — sinalizam falsamente 74,6% dos skills limpos como suspeitos, o que tende a fazer times ignorarem os alertas com o tempo, enquanto apenas 5,6% das variantes do Poise geram um novo alerta de alto risco em relação à versão limpa correspondente. Isso sugere que, hoje, auditoria automática de skills de agente por LLM não é uma defesa confiável contra esse tipo de envenenamento posicional, e que times que dependem de marketplaces ou repositórios compartilhados de skills precisam de revisão humana ou de mecanismos de verificação de proveniência mais robustos do que simplesmente rodar outro LLM como juiz.