Mapeamento de 14 vetores de prompt injection em sistemas multiagente encontra 67% dos agentes vulneráveis a violação de escopo
Pesquisadores propõem o primeiro modelo de ameaça dedicado a prompt injection em sistemas multiagente, catalogando 14 vetores de ataque em quatro categorias — incluindo canais de injeção invisíveis a defesas de perímetro, criados pela própria troca de mensagens entre agentes. Testando os 14 vetores contra um sistema de produção com 6 agentes, 67% dos agentes se mostraram vulneráveis a pelo menos uma violação de escopo mesmo com guardrails no system prompt, e quatro defesas arquiteturais combinadas derrubaram a taxa geral de sucesso de ataque de 31,2% para 4,2%.
O argumento inicial do artigo é que a pesquisa de prompt injection, até agora, foca quase exclusivamente no cenário de um chatbot único manipulado por entrada direta ou por conteúdo recuperado — mas sistemas multiagente introduzem três mecanismos de risco que esse modelo não captura: a troca de mensagens entre agentes cria canais de injeção invisíveis para qualquer defesa posicionada só na borda do sistema; o acesso compartilhado a ferramentas permite que um ataque escale privilégio cruzando a fronteira de um agente para outro; e a propagação de confiança entre agentes permite que um agente comprometido influencie orquestradores acima dele na cadeia.
A partir disso, os autores constroem um modelo de ameaça com 14 vetores organizados em quatro categorias: injeção direta via entrada do usuário (3 vetores), injeção indireta via saída de ferramenta (4 vetores, com 43% de sucesso nos testes), injeção inter-agente via passagem de mensagem (4 vetores) e injeção em cascata via manipulação do orquestrador (3 vetores). Testando todos os 14 contra um sistema real de 6 agentes representativo de uma implantação de produção — já com guardrails de nível de system prompt ativos —, 67% dos agentes ainda apresentaram pelo menos uma violação de escopo, e a taxa geral de sucesso de ataque combinada ficou em 31,2%.
Isso importa porque arquiteturas multiagente (um orquestrador coordenando agentes especializados com ferramentas compartilhadas) estão se tornando o padrão de facto para automação complexa com LLM, e o resultado mostra que proteger apenas a entrada que vem do usuário deixa a maior parte da superfície de ataque real exposta — o próprio tráfego interno entre agentes, que muitas equipes tratam como confiável por padrão, precisa de controle de segurança equivalente ao da borda.
As quatro defesas arquiteturais testadas pelos autores atacam cada mecanismo específico: assinatura de mensagem com rastreamento de proveniência reduziu a injeção inter-agente em 91%; sanitização de entrada e saída nas fronteiras de cada agente reduziu a injeção indireta em 78%; escopo de ferramenta por papel do agente eliminou por completo o escalonamento de privilégio observado nos testes; e detecção de anomalia sobre o padrão de comunicação entre agentes bloqueou 84% das tentativas de injeção em cascata. Combinadas, essas quatro camadas levaram a taxa de sucesso geral de ataque de 31,2% para 4,2% — um roteiro de arquitetura concreto e imediatamente aplicável para quem já está construindo sistemas multiagente em produção.