Pesquisadores identificam e formalizam uma nova classe de ataque — "estado billable persistente" — em que uma ferramenta admitida (maliciosa ou comprometida) em um agente LLM com chamadas de ferramenta consegue transformar dados não confiáveis em processamento recorrente cobrado da vítima, sem precisar de credenciais ou privilégio no runtime local. Em 243 execuções de teste contra seis famílias de modelos, o consumo cumulativo de entrada por sessão chegou a 14.293 vezes o tamanho da primeira chamada, e uma varredura de 3.830 repositórios de servidores e transporte MCP encontrou proteção code-visible contra esse vetor em apenas 71 deles, nenhum cobrindo todas as quatro famílias de salvaguarda propostas.
Um framework unificado combina duas defesas de ferramentas -- filtragem de anomalias e restauração do toolset original antes do planejamento -- com técnicas de prompt como chain-of-thought e auto-reflexão para proteger agentes LLM integrados a ferramentas externas. Testado em sete modelos, incluindo GPT-5, o método zerou a taxa de sucesso de ataques em vários cenários sem degradar o desempenho da tarefa original.
O framework RuleAutoPilot gera automaticamente regras de detecção Suricata a partir de capturas de tráfego de malware, sem depender de inteligência de ameaças prévia, filtrando primeiro o ruído de tráfego benigno e depois corrigindo iterativamente as regras que falham em testes de sintaxe ou geram falsos positivos. Usando o modelo aberto gpt-oss-120b, o sistema chega perto da qualidade do Claude Code a 52x menos custo em tokens, e o supera quando usa Claude Opus 5 como backbone.
O artigo propõe uma taxonomia de ameaças alinhada ao ciclo de vida de agentes de pentest baseados em LLM, cobrindo ataques ao próprio modelo, à arquitetura do agente e comportamentos transversais que atravessam múltiplos componentes. A conclusão central é que os mecanismos de guardrail pensados para chatbots conversacionais não cobrem os riscos qualitativamente novos criados por memória persistente, ações no mundo real e raciocínio de longo horizonte desses agentes.
Um framework agentic baseado em LLM analisou estática e dinamicamente os 300 plugins mais instalados do WordPress -- 75% de todas as instalações ativas do ecossistema -- em busca de arquivos de log inseguros que podem vazar credenciais e dados pessoais. Dos 81 achados reportados pelo agente, 79 foram confirmados manualmente em 62 plugins distintos, e os pesquisadores constatam que proteções em múltiplas camadas nem sempre estão presentes.
Guardas de segurança que analisam o grafo de comunicação entre agentes de IA para detectar agentes comprometidos normalmente exigem centralizar dados sensíveis de várias organizações, algo inviável na prática. O FGLGuard resolve isso com aprendizado federado sobre grafos: cada operador treina localmente seu próprio detector e compartilha apenas atualizações de modelo, nunca os dados brutos. Em testes com AgentDojo, Agent-SafetyBench e R-Judge, a abordagem federada superou até modelos centralizados dentro de um único domínio, cortando em 43% a taxa de sucesso de ataques reais sem custo de API e sem expor dados entre empresas.
Pesquisadores mostraram que agentes de LLM personalizados que armazenam apenas um "modelo do usuário" compactado (em vez do texto original) não são tão privados quanto se supunha. O ataque UMPeek, por sondagem adaptativa guiada por hipóteses, consegue reconstruir informações privadas do usuário observando apenas o comportamento visível do agente, sem acesso a registros brutos ou ao estado interno. O método foi validado tanto em benchmarks quanto em sistemas reais em produção, superando ataques existentes e resistindo a defesas aplicadas no nível da resposta.