Levantamento mapeia superfície de ataque de agentes de IA que operam sobre blockchains via MCP e tool calling
Um levantamento sistematiza os ataques possíveis contra agentes de IA que atuam sobre blockchains públicas via MCP, skills e tool calling, destacando que a fração de ferramentas de agentes capazes de alterar estado externo, não só ler, já passa de 65%. Os autores argumentam que a irreversibilidade das transações on-chain, a autoridade de assinatura dos agentes e a composição de ações em sequência tornam falhas comuns de agentes muito mais graves nesse contexto, e que as defesas atuais bloqueiam menos de 30% dos ataques mapeados.
Pesquisadores (Rabimba Karanjai, Yang Lu, Nour Diallo, Wujie Xiong, Lei Xu, Weidong Shi, equipe que se sobrepõe à do artigo PACE citado acima) apresentam um survey que organiza a literatura fragmentada sobre segurança de agentes de IA que atuam sobre a Web3, blockchains públicas, através do Model Context Protocol (MCP), 'skills' e tool calling em geral.
Os autores destacam que a fração de ferramentas MCP implantadas que modificam estado externo, em vez de apenas ler informação, subiu de 27% para 65% do uso total de ferramentas, ou seja, agentes estão recebendo cada vez mais autoridade para efetivamente agir, não só consultar. Eles argumentam que quatro propriedades específicas da camada de execução em blockchain mudam qualitativamente o modelo de ameaça em relação à segurança genérica de agentes: irreversibilidade (sem estorno ou rollback), autoridade de assinatura (o agente pode deter e usar chaves privadas), autonomia contínua (o agente pode agir por longos períodos sem humano no circuito) e composição em nível de sequência (ações individualmente seguras podem se combinar em um resultado inseguro). A partir disso, contribuem com uma taxonomia de superfície de ataque e uma 'matriz de mapeamento de risco Web3', que associa cada classe de ataque ao seu impacto amplificado específico de blockchain, ao mecanismo que causa essa amplificação, a uma mitigação representativa e à lacuna residual não coberta.
Ao sintetizar as defesas existentes, incluindo mecanismos emergentes baseados em blockchain, os autores concluem que as proteções medidas hoje 'impedem menos de 30% dos ataques, e a segurança em nível de modelo recusa menos de 3%', ou seja, nem os guardrails de aplicação nem o próprio treinamento de segurança do modelo chegam perto de ser suficientes atualmente.
O trabalho funciona como um mapa de orientação para uma categoria de risco genuinamente nova e em expansão: agentes LLM com acesso a carteiras de blockchain estão saindo da fase experimental para implantação real, em bots de trading, copilotos de DeFi e automação on-chain, e o argumento central do artigo, de que as consequências de uma falha já conhecida de segurança de agentes, como prompt injection, se tornam categoricamente piores quando a falha se traduz em uma transação assinada e irreversível, é exatamente o que motiva propostas como o PACE, citado no item acima, que criam portões de política on-chain. Os números apresentados (menos de 30% dos ataques bloqueados pelas defesas atuais, menos de 3% recusados só pela segurança do modelo) são uma referência concreta e sóbria para quem avalia o quão madura é hoje a segurança de agentes Web3 frente ao que costuma ser divulgado no marketing desses produtos.