PACE trava execução de agentes de IA em DeFi para conter prompt injection antes que vire transação on-chain

Pesquisadores (Rabimba Karanjai, Yang Lu, Richard Williamson, Hemanth Hm, Prakhar Mehrotra, Lei Xu, Weidong Shi) apresentam o PACE (Policy-Attested Contract Execution), motivados pelo fato de que agentes autônomos de DeFi já planejam transações on-chain, como swaps, empréstimos e gestão de yield, usando LLMs, e por isso herdam a suscetibilidade dos LLMs a prompt injection, sem nenhum mecanismo até então que vinculasse criptograficamente a aprovação de um verificador à transação exata que acaba sendo enviada à blockchain.

Tecnicamente, o PACE interpõe uma camada de autorização em nível de transação entre o agente LLM e a execução on-chain: intenções de transação tipadas, um verificador de política determinístico (não um LLM) e Policy Decision Records (PDRs) assinados que vinculam a intenção aprovada, a política aplicada e um relatório de simulação aos bytes exatos de execução, com proteção contra replay e expiração. Uma smart account em Solidity então exige a assinatura do PDR on-chain antes de permitir a execução, com overhead medido de cerca de 29.826 a 31.822 unidades de gas por transação.

A avaliação comparou o PACE contra seis baselines em 40 tarefas cobrindo quatro categorias de ataque mais utilidade benigna, totalizando 2.800 execuções com 10 sementes, em um sandbox determinístico: o PACE atingiu taxa de execução insegura de 0,00 e taxa de falso positivo de 0,00 em tarefas benignas, contra 0,80 de execuções inseguras no baseline sem proteção. Estudos de ablação identificam configurações de política permissivas (+57,5 pontos percentuais) e uma allowlist de contratos já tocados (+12,5 pontos percentuais) como os principais contribuintes de segurança. Os autores complementam com uma avaliação adicional usando três LLMs reais e um harness de fork de mainnet, mas enquadram explicitamente sua contribuição central como 'segurança em nível lógico dentro de um benchmark reproduzível', não como segurança de DeFi pronta para produção.

DeFi é um dos poucos domínios em que um único prompt injection bem-sucedido contra um agente LLM se traduz direta e irreversivelmente em fundos roubados ou desviados em uma blockchain pública, sem nenhum 'desfazer' possível assim que a transação assinada é confirmada. Vincular uma checagem de política determinística e não-LLM aos bytes literais que serão executados, em vez de confiar na intenção declarada pelo LLM, é o formato geral correto de defesa para esse tipo de risco: trata o LLM como um proponente não confiável e coloca um portão verificável e criptograficamente atestado entre a proposta e a execução. A taxa de 0,80 de execuções inseguras no baseline sem proteção já é, por si só, um número concreto e útil para quem avalia o quanto agentes on-chain guiados por LLM estão expostos hoje sem esse tipo de camada de interposição.