'The Like Trap' manipula o feedback de curtidas para envenenar o feed de agentes de IA em redes sociais
Pesquisadores demonstraram que agentes de IA que operam contas em redes sociais podem ser envenenados de forma indireta, atraves do proprio mecanismo de recomendacao da plataforma, em vez de expor conteudo malicioso diretamente ao agente. No simulador OASIS, o ataque explora o 'like-score' usado pelo sistema de recomendacao por similaridade, construindo uma cadeia multi-estagio de posts envenenados que consegue fazer a plataforma recomendar conteudo malicioso ao agente mesmo quando a similaridade entre o post e os interesses do usuario fica abaixo do limiar normal de recuperacao.
A diferenca em relacao a ataques de envenenamento de agentes anteriores esta na superficie explorada: estudos anteriores normalmente assumem que o atacante consegue expor o conteudo malicioso diretamente ao agente, por exemplo injetando um post no feed que ele le. Isso e eficaz, mas relativamente facil de mitigar limitando ou filtrando as fontes de entrada do agente. Este trabalho investiga uma pergunta diferente: se o proprio sistema de recomendacao de uma rede social pode ser manipulado para entregar o conteudo malicioso organicamente, sem qualquer exposicao direta forcada.
Tecnicamente, os autores caracterizam de forma formal as condicoes sob as quais o mecanismo de 'like-score' do simulador de rede social OASIS pode ser explorado. Eles constroem uma cadeia de posts em varios estagios, cada um projetado para acumular engajamento (curtidas) suficiente para subir no ranking do sistema de recomendacao por similaridade, ate que o post final -- o efetivamente malicioso -- seja recomendado ao agente mesmo com similaridade textual abaixo do limiar que normalmente bloquearia sua recuperacao pelo sistema.
Os experimentos confirmam que a cadeia de posts realistas consegue explorar esse loop de retroalimentacao do like-score de forma consistente, tornando a deteccao mais dificil do que envenenamento direto justamente porque nenhum post individual da cadeia parece, isoladamente, obviamente malicioso ou fora do padrao de similaridade esperado -- o efeito emerge da sequencia como um todo, nao de um unico post suspeito que um filtro pudesse capturar.
A medida que agentes de IA passam a gerenciar contas de redes sociais em nome de usuarios -- postando, curtindo, seguindo recomendacoes automaticamente -- a superficie de ataque deixa de ser apenas 'o que alguem manda diretamente para o agente' e passa a incluir 'o que o algoritmo de recomendacao da propria plataforma decide mostrar a ele'. Esse segundo vetor e mais dificil de defender, porque exigiria auditar o comportamento do proprio sistema de recomendacao, e nao apenas filtrar o conteudo de entrada do agente -- uma lacuna de seguranca que a maioria dos frameworks de agente ainda nao considera no seu modelo de ameacas.