Três novos ataques driblam defesas de privacidade de agentes de IA pessoais sem usar prompt injection
Pesquisadores demonstraram três ataques — Collaborative Workspace Lure, Semantic Obfuscation Attack e Channel Decoupling Attack — que extraem dados privados de agentes pessoais de IA sem depender de injeção de prompt clássica, contornando defesas baseadas em prompts de sistema, treinamento e checagem de consentimento. Em resposta, os mesmos autores propõem o FLOWSEAL, um mecanismo de controle de fluxo de informação aplicado fora do contexto do LLM, que reduz a taxa de vazamento contra o ataque mais eficaz de 52,2% para 0,5% sem prejudicar a utilidade do agente.
Agentes pessoais construídos sobre LLMs recebem acesso a dados privados e comunicações do usuário para prestar assistência personalizada, e o risco central é que, a cada interação, o agente precisa decidir se determinada informação sensível deve ou não ser revelada a um terceiro. O artigo identifica um problema estrutural nas defesas atuais: elas tentam tornar o próprio LLM mais cuidadoso com privacidade via prompts de sistema mais fortes, treinamento adicional ou verificações explícitas de consentimento, mas todas essas defesas operam dentro do mesmo contexto conversacional que um atacante controla — ou seja, o mecanismo de imposição e a superfície de ataque coincidem no mesmo espaço, o que estruturalmente favorece quem ataca.
Os três ataques propostos exploram essa coincidência sem recorrer a prompt injection tradicional. O Collaborative Workspace Lure reformula uma tentativa de extração como se fosse um pedido de colaboração legítima em um espaço de trabalho compartilhado, fazendo o agente revelar dados por acreditar que está ajudando em uma tarefa conjunta. O Semantic Obfuscation Attack induz vazamento por omissão — a informação sensível não aparece de forma explícita no texto que o agente escreve, mas pode ser inferida pelo que ele deixa de dizer ou como estrutura a resposta, escapando de filtros que procuram por conteúdo sensível explícito. Já o Channel Decoupling Attack divide o pedido de extração e o canal de divulgação em interações independentes, de modo que nenhuma mensagem isolada pareça suspeita o suficiente para disparar uma defesa baseada em análise de uma única troca.
A defesa proposta, FLOWSEAL, muda deliberadamente onde a decisão de privacidade é tomada: em vez de confiar no julgamento do LLM dentro do próprio contexto conversacional, ela intercepta chamadas de ferramenta em um nível externo ao modelo, rastreando a proveniência de cada dado e aplicando uma política de controle de fluxo de informação em formato de lattice, com desclassificação controlada para casos legítimos de compartilhamento. Avaliado contra três benchmarks, cinco defesas baseadas em prompt e oito ataques — incluindo execução real via MCP com chamadas de ferramenta ao vivo — o FLOWSEAL derruba a taxa de vazamento do Collaborative Workspace Lure de 52,2% para 0,5%, mantendo a utilidade da tarefa e funcionando de forma consistente independente do LLM usado como backend.
O ponto prático mais importante do artigo é conceitual: qualquer defesa de privacidade que dependa exclusivamente do próprio modelo julgar o que pode ou não ser revelado, usando o mesmo contexto que o atacante manipula, tende a ser contornável por reformulação suficientemente criativa do pedido — sem sequer precisar de injeção de instrução maliciosa. Para quem constrói agentes com acesso a dados pessoais, isso é um argumento forte a favor de aplicar controle de acesso e de fluxo de dados em uma camada de infraestrutura separada do raciocínio do modelo, e não apenas via instruções de sistema mais rígidas.