A2A-TIBA explora protocolos de comunicacao entre agentes de IA para instalar backdoors operacionais
Pesquisadores demonstram A2A-TIBA, um ataque que combina prompt injection indireta com uma etapa de bypass para induzir um agente LLM remoto, conectado via protocolos de agente-para-agente (A2A/ACP), a implantar um programa de callback que depois recebe comandos do atacante contornando o proprio agente. Para medir defesas com mais granularidade do que a taxa de sucesso de ataque tradicional, os autores propoem o GDA Measurement e um modelo de defesa em tres camadas -- empacotamento do envelope, reconhecimento pelo LLM e intercepcao pelo agente --, testando 15 combinacoes de agente e modelo sobre um dataset de 1.000 casos.
Protocolos de interacao entre agentes, como ACP e A2A, permitem que agentes LLM colaborem tratando tarefas enviadas por um par remoto como requisicoes legitimas. Essa suposicao de confianca e exatamente o canal de que a prompt injection indireta precisa, mas avaliacoes anteriores de seguranca de agentes dependiam majoritariamente de uma metrica unica e grosseira, a taxa de sucesso de ataque, que nao distingue se um ataque falhou porque o LLM reconheceu o conteudo malicioso ou porque algo na camada do agente bloqueou a execucao.
O A2A-TIBA executa uma sequencia de implantacao-comando-exfiltracao: usa prompt injection indireta para fazer o agente alvo implantar um programa de callback, apos o qual o atacante passa a emitir comandos que contornam completamente a logica de decisao do agente. O GDA Measurement, proposto para medir defesas com mais precisao, captura o contexto bruto via um gateway de LLM com preservacao dupla de dados e julgamento autonomo baseado em agente, dividindo os resultados em quatro classes -- recusa semantica, violacao semantica, intercepcao e penetracao -- em vez de uma unica taxa agregada. Isso evidencia a 'camada de envelope' -- o canal pelo qual o conteudo malicioso entra no agente, como mensagens A2A, saidas de ferramentas ou memoria -- como uma dimensao de defesa distinta do reconhecimento de conteudo pelo proprio LLM.
Testado em 15 combinacoes de front-end de agente e back-end de LLM sobre um dataset de 1.000 casos, o trabalho confirma a eficacia pratica do ataque e mostra que adicionar rotulos de prompt malicioso especificamente ao empacotamento do envelope -- canais A2A, de ferramenta e de memoria -- melhora de forma mensuravel o proprio reconhecimento do LLM sobre o conteudo malicioso, ou seja, rotular a origem do conteudo ajuda o modelo a trata-lo com a suspeita adequada.
Conforme protocolos agente-para-agente se tornam a forma padrao de compor sistemas baseados em LLM -- delegacao, subagentes, chamadas de agente entre organizacoes --, este resultado mostra que a suposicao de confianca por padrao embutida nesses protocolos e diretamente explorável, e que defesas precisam agir na camada de envelope e transporte, nao apenas endurecendo a filtragem de conteudo do proprio LLM -- uma distincao que importa muito para quem constroi ou adota sistemas multiagente sobre protocolos no estilo A2A hoje.