DIBench mede como injeções enganosas desviam decisões de agentes móveis sem gerar anomalias visíveis
Pesquisadores propõem o DIBench, um benchmark com mais de 37 mil instâncias para medir se agentes de IA que operam interfaces gráficas de apps móveis podem ser manipulados, por conteúdo injetado na tela, a escolher opções diferentes das pedidas pelo usuário — como abandonar o critério "mais barato" ou "melhor avaliado" — sem que a tarefa pareça ter falhado. O estudo mostra que métricas tradicionais de "taxa de conclusão" escondem esse desvio de integridade decisória e que defesas comuns, como detecção de prompt ou pré-processamento de imagem, oferecem proteção inconsistente.
O DIBench, aceito na trilha de avaliações e datasets da NeurIPS 2026, ataca um problema específico de segurança em agentes de IA que operam GUIs móveis (como fazer compras, reservar passagens ou comparar produtos dentro de aplicativos reais): a possibilidade de um conteúdo malicioso embutido na própria interface do app — um texto, um botão, um elemento visual — fazer o agente escolher a opção que o atacante quer, mesmo que essa opção viole explicitamente uma instrução do usuário, como "escolha o mais barato". Diferente de um sequestro de execução óbvio (abrir outro app, enviar dinheiro para outro lugar), esse ataque é sutil: a tarefa é "concluída" normalmente, só que a decisão tomada dentro dela foi manipulada.
Tecnicamente, o benchmark cobre 7 aplicativos comerciais reais e 3 simulados, com 5 tipos de tarefa, sob um modelo de ameaça restrito a conteúdo de UI não privilegiado — ou seja, o atacante não precisa de nenhum acesso especial, só precisa conseguir colocar texto ou elementos na tela que o agente vai ler (por exemplo, como vendedor em um marketplace, ou como terceiro que controla uma página de resultado). Os autores construíram 8 variações de sondas de injeção enganosa e geraram 1.000 instâncias limpas e 36.672 instâncias injetadas, testando 4 frameworks de agentes diferentes sobre 7 modelos base.
O resultado central é que avaliar agentes apenas pela "taxa de sucesso da tarefa" cria uma falsa sensação de segurança: as injeções conseguem desviar a seleção final e já influenciam as primeiras decisões do agente, inflando artificialmente a taxa de conclusão porque o agente ainda entrega *algo*, só que o algo errado do ponto de vista do usuário. Pior, defesas padrão da indústria — detecção de conteúdo suspeito, pré-processamento de imagem para remover elementos adversariais, e lembretes de prompt pedindo ao agente para ignorar instruções embutidas na página — reduzem o problema de forma inconsistente, sem eliminá-lo.
Na prática, isso é relevante para qualquer produto que anuncie "agentes de compras" ou assistentes que tomam decisões autônomas dentro de apps de terceiros: a métrica de marketing "o agente completou a tarefa" não é evidência de que a decisão foi íntegra, e times de produto que avaliam esses agentes apenas por conclusão de tarefa estão, segundo os autores, medindo a coisa errada. Isso also sugere que proteções no nível de prompt ou de pré-processamento de imagem, isoladamente, não bastam — é necessário avaliar explicitamente a integridade da decisão em cada etapa intermediária, não só o resultado final.