Sequestro de recursos: o ponto cego da segurança de agentes de IA que ninguém estava medindo
O paper identifica e nomeia o 'resource hijacking' — ataques em que o adversário induz um agente de IA a consumir, transferir ou controlar recursos de alto valor (computação, credenciais, orçamento, identidade, canais de comunicação) sem nunca obter acesso direto a eles. No novo benchmark ResourceHijackBench, o ataque atinge 84% de sucesso médio contra o agente OpenClaw, e mesmo a defesa mais forte testada ainda deixa 55% de sucesso.
A pesquisa de segurança de agentes de IA até aqui se concentrou em como um atacante manipula instruções, dados ou o comportamento de ferramentas — prompt injection clássica, jailbreak, extração de dados. Este trabalho argumenta que isso deixa de fora uma categoria inteira de ataque: agentes modernos têm acesso a recursos de alto valor (orçamento de API, créditos de nuvem, credenciais, identidade organizacional, canais de comunicação, fluxos de trabalho) que um atacante pode abusar sem nunca precisar roubar a credencial em si — basta convencer o agente, via instrução maliciosa, a usar esse acesso em nome do atacante.
Os autores organizam esses recursos em seis categorias e constroem o ResourceHijackBench: 300 cenários de ataque com 900 prompts maliciosos, cada um rodando em ambiente isolado que registra o uso real de recursos, não apenas a resposta em texto do agente — o que é metodologicamente importante, já que um agente pode 'dizer' que recusou uma ação e mesmo assim executá-la, e só instrumentação de comportamento real captura isso de forma confiável.
O resultado mais alarmante é a taxa de sucesso: 84,06% em média contra o agente OpenClaw, e entre 69,98% e 89,58% testando diferentes modelos como backend — ou seja, o ataque não depende de uma falha específica de um modelo, ele explora a arquitetura de acesso a recursos do próprio agente. E mesmo com defesas aplicadas, a mais forte das testadas ainda deixa 55,11% de sucesso médio, o que é uma redução real, mas está longe de qualquer coisa que se possa chamar de mitigado.
Na prática, isso é um alerta direto para qualquer empresa dando a agentes de IA acesso a orçamentos de nuvem, chaves de API com limite de gasto, ou capacidade de iniciar ações em nome de uma identidade corporativa: o controle de acesso tradicional não é suficiente quando o próprio agente autorizado pode ser enganado a usar mal esse acesso. Isso empurra a discussão de segurança de agentes na direção de limites de uso monitorados em tempo real, e não apenas de permissões estáticas.