Proposta usa tokens criptográficos vinculados a identidade para conter prompt injection em agentes de IA distribuídos
Pesquisadores propõem um framework de segurança por capacidades para agentes de IA autônomos que precisam transacionar e coordenar entre si, movendo o controle de acesso para um módulo criptográfico fora da janela de contexto do modelo. A ideia central é que tokens de capacidade, vinculados à identidade do agente e do emissor e baseados em padrões existentes (OAuth Agent Authorization Profile, W3C DID/VC), permitem que serviços validem que cada elo de uma cadeia de delegação só reduz -- nunca amplia -- o escopo de permissões.
O ponto de partida do artigo é uma limitação estrutural bem conhecida de agentes baseados em LLM: qualquer guardrail definido apenas em texto dentro do prompt de sistema é, por construção, um “soft guardrail” -- ele compete com o restante do contexto pela atenção do modelo e pode ser sobrescrito por conteúdo injetado (prompt injection). Quando esse agente tem autonomia para realizar transações ou acessar credenciais, o resultado de uma injeção bem-sucedida deixa de ser apenas uma resposta indesejada e passa a ser exfiltração de credenciais ou execução de ações reais com efeitos financeiros ou operacionais.
A solução proposta não tenta reforçar o guardrail dentro do contexto do modelo -- ao contrário, assume que o contexto é território hostil e move a decisão de autorização para fora dele. Os autores desenham isso sobre padrões já existentes: o OAuth Agent Authorization Profile para emissão e uso de tokens, e os padrões W3C de Identificadores Descentralizados (DID) e Credenciais Verificáveis (VC) para amarrar cada token criptograficamente à identidade tanto do agente quanto de quem emitiu a permissão. O elemento mais relevante do desenho é a cadeia de delegação com atenuação de escopo obrigatória: um serviço que recebe um token pode verificar, sem consultar um servidor central, que cada elo da cadeia de delegações anteriores só restringiu o escopo original, nunca o ampliou -- fechando a porta para escalonamento de privilégio via encadeamento de delegações.
O desenho também é pensado para escalar horizontalmente: como a verificação de capacidade é criptográfica e local a cada serviço, não depende de um agente coordenador central ou de round-trips constantes para checar permissões, o que é relevante à medida que cresce o número de agentes autônomos operando de forma peer-to-peer em nome de empresas ou indivíduos.
O valor prático da proposta está em reconhecer que soft guardrails textuais não são uma camada de segurança suficiente para agentes com poder de ação real -- eles devem ser tratados como uma camada de UX ou de alinhamento, não de controle de acesso. Times que hoje colocam toda a lógica de “o que este agente pode fazer” dentro do prompt de sistema estão, na prática, sem enforcement técnico algum contra um atacante capaz de injetar instruções via dados recuperados (RAG, emails, páginas web). Uma camada de autorização fora do contexto do modelo, mesmo que ainda em estágio de proposta acadêmica, aponta a direção arquitetural correta para sistemas agentic que movimentam dinheiro ou credenciais sensíveis.