APEX propõe bloquear injeção de prompt em agentes de IA no ponto em que a ação é executada, não no conteúdo lido
Pesquisadores apresentam o APEX, uma defesa contra injeção de prompt indireta que, em vez de tentar reconhecer padrões de ataque em ferramentas, servidores MCP ou skills, intercepta toda ação do agente no momento em que ela se torna um efeito externo real, autorizando-a apenas segundo um contrato de permissões definido antes da execução. Nos testes dos autores, o sistema zerou a taxa de sucesso de ataque em cinco dos seis benchmarks avaliados, incluindo contra ataques adaptativos desenhados especificamente para contorná-lo.
A injeção de prompt indireta (IPI) é hoje o principal vetor de ataque contra agentes de IA que leem conteúdo externo em tempo de execução — páginas web, documentos, respostas de ferramentas, mensagens de outros sistemas via MCP. O problema prático de defender contra isso é que, conforme agentes passam a compor cada vez mais tipos de capacidades (tools, servidores MCP, skills), também aumentam os lugares onde uma instrução maliciosa pode ser escondida, e defesas baseadas em reconhecer "como se parece" um ataque ficam permanentemente atrasadas em relação a novas variações.
A proposta do APEX é deslocar o ponto de defesa: em vez de tentar classificar conteúdo de entrada como malicioso ou benigno, o sistema intervém exclusivamente na "fronteira de execução" — o momento exato em que o agente converte estado interno em uma ação externa (uma chamada de API, uma escrita em arquivo, uma resposta liberada ao usuário). Nesse ponto, duas condições são verificadas contra um "contrato de autorização" compilado antes de qualquer execução não confiada: se o efeito proposto é autorizado pela tarefa original, e se a informação usada para decidir essa ação foi de fato endossada por essa tarefa (e não injetada por um terceiro). A primeira camada, "evidence-gated prevention", só permite o efeito se o contrato o justificar explicitamente; a segunda, "deception-based exposure", é descrita como um mecanismo que faz o uso não endossado de uma informação se revelar antes que o efeito se concretize — uma espécie de armadilha que expõe a manipulação antes que ela produza dano.
Os números reportados são expressivos: contra 13 defesas de referência (baselines), o APEX atinge 0% de taxa de sucesso de ataque em cinco dos seis benchmarks testados e apenas 0,56% no sexto, mantendo 0% mesmo sob ataques adaptativos — ataques desenhados sabendo como o APEX funciona — nos três tipos de unidade de capacidade avaliados (tools, MCP, skills), e o desempenho se mantém estável independentemente do modelo usado como defensor.
Na prática, a ideia central — proteger pelo que a tarefa autoriza, não pela aparência do ataque — é atraente justamente porque não exige políticas específicas por tipo de ataque nem rastreamento de taint (contaminação) propagando por todo o sistema, o que historicamente é caro e frágil de manter atualizado. O código dos autores está disponível publicamente, o que permite replicação independente dos resultados; a ressalva natural é que resultados de 0% de ataque bem-sucedido em benchmarks acadêmicos tendem a ser mais favoráveis do que o desempenho terá contra atacantes adaptativos reais operando fora do conjunto de ataques usado para validação.