"Prompts explosivos": injeção de prompt com gatilho dormente engana até 83% dos agentes de IA testados
Pesquisadores descrevem o "explosive prompt", uma injeção de prompt indireta que fica dormente em conteúdo recuperado por um agente até que uma condição escolhida pelo atacante se cumpra, funcionando como um backdoor condicional plantado sem qualquer treinamento adicional. Em testes contra nove agentes de produção — incluindo Claude Code CLI, Gemini CLI, GitHub Copilot e OpenAI Codex — a técnica atingiu de 43% a 83% de sucesso de execução de ferramenta, contra no máximo 3% de um payload imperativo direto.
A ideia central do artigo é simples de enunciar e incômoda na prática: em vez de instruir o agente a agir imediatamente ao ler um conteúdo malicioso — o padrão de injeção indireta já bem estudado e cada vez mais filtrado por modelos de fronteira —, o atacante embute uma instrução condicional ("quando X acontecer, faça Y") que só dispara depois, no momento em que o gatilho ocorre durante a operação normal do agente. Como não há comando imperativo explícito no instante da ingestão, o conteúdo passa despercebido tanto pelo próprio modelo quanto por classificadores de injeção treinados no padrão antigo.
Os números mostram o tamanho do efeito: modelos de fronteira que recusam quase toda instrução imperativa direta (no máximo 3% de sucesso) executam o mesmo objetivo reformulado como condicional dormente entre 43% e 83% das vezes, dependendo do agente, em testes contra nove plataformas de produção (Codex, Gemini CLI, Claude Code CLI, Cursor CLI, GitHub Copilot, Devin AI CLI, Amazon Kiro CLI, Qwen Code e Google Assistant, 30 tentativas cada). Mais preocupante: mesmo um modelo que foi otimizado por preferência para zerar a injeção imperativa ainda executa 11,8% dos prompts explosivos, sempre exatamente no turno em que o gatilho é atingido — evidência de que o treinamento de segurança atual mira o padrão de superfície (comando direto), não a estrutura condicional subjacente.
Isso importa porque a separação temporal entre a "plantação" do payload e sua ativação quebra o modelo mental mais comum de defesa contra prompt injection, que é revisar ou filtrar o conteúdo no momento em que ele entra no contexto do agente. Um documento, issue ou página web aparentemente inócuos podem carregar uma bomba-relógio que só age quando o agente, dias ou etapas depois, encontra a condição certa — tornando auditoria pós-fato e monitoramento contínuo tão necessários quanto a filtragem na ingestão.
Os autores propõem o DeFuse, um detector treinado especificamente para reconhecer a estrutura condicional (não o conteúdo malicioso em si) no momento da ingestão, que derruba a execução de ferramenta bem-sucedida de 34,3% (sem defesa) para 7,5–8,1%, com AUC de 0,9994 e latência 25 vezes menor que baselines equivalentes — mas que depende de thresholds ajustados ao tamanho do texto, deixando claro que builders de agentes precisam tratar todo conteúdo recuperado como potencialmente portador de lógica condicional maliciosa, não só de comandos explícitos.