Estudo mapeia como injeção de prompt se propaga entre agentes de IA em arquiteturas multiagente
Pesquisadores testaram sistematicamente ataques de injeção de prompt contra sistemas de agentes de IA, cobrindo tanto entradas diretas de usuários quanto a comunicação entre agentes como vetor de exploração. O trabalho mostra que falhas que já afetam agentes isolados — vazamento de informação sensível, desvio de instruções — podem se propagar lateralmente quando múltiplos agentes trocam mensagens entre si, contaminando todo o pipeline multiagente a partir de um único ponto de entrada comprometido.
O artigo parte de uma constatação simples: a maior parte da literatura de segurança em LLMs trata a injeção de prompt como um problema de fronteira única, entre o usuário e um modelo. Os autores ampliam esse escopo testando dois vetores de ataque em conjunto — entrada direta do usuário e o canal de comunicação entre agentes — justamente porque frameworks multiagente modernos (orquestradores que delegam subtarefas a agentes especializados, pipelines de ferramentas encadeadas) introduzem um canal novo que raramente é tratado com a mesma desconfiança que a entrada do usuário final.
Tecnicamente, a ideia central é que uma injeção bem-sucedida contra o primeiro agente de uma cadeia não precisa ser contida ali: se esse agente repassa contexto, resultados de ferramentas ou resumos para outro agente — prática comum em arquiteturas orientadas a papéis —, a carga maliciosa embutida no texto pode ser interpretada pelo agente seguinte como instrução legítima, replicando o comprometimento adiante. Os autores chamam esse efeito de propagação cross-agent, e mostram que ele ocorre mesmo quando cada agente individualmente teria resistido à mesma injeção se ela chegasse por um canal de usuário tradicional, porque a confiança implícita entre agentes do mesmo sistema costuma ser maior do que a confiança atribuída a um usuário externo.
Isso importa na prática porque o mercado está migrando rapidamente de assistentes de IA isolados para enxames de agentes que dividem tarefas, compartilham memória e chamam ferramentas em nome umas das outras — exatamente o tipo de arquitetura em que times de produto costumam assumir que o isolamento entre agentes já resolve boa parte do problema de segurança. O estudo indica o contrário: cada novo agente conectado ao pipeline aumenta a superfície de propagação, e defesas pensadas apenas para a borda externa do sistema (filtros de entrada do usuário) deixam a comunicação interna entre agentes praticamente sem inspeção.