Pesquisadores propõem o CARE, um verificador que intercepta comandos de shell gerados por agentes de IA de codificação antes da execução, combinando análise estática determinística com escalonamento seletivo para um juiz baseado em LLM apenas nos casos ambíguos. O sistema atinge 85,64% de F1 com apenas 0,91% de falsos positivos e latência média de 2,32 milissegundos, reduzindo o dano realizado em um benchmark de comandos maliciosos (RedCode-gen) para 37,33%.
Pesquisadores apresentam o ToolGuardian, um framework que aplica uma camada declarativa baseada em Answer Set Programming para autorizar, de forma explícita e auditável, quais ferramentas externas um agente de LLM pode invocar e sob quais condições de tarefa. Testado contra 16 ferramentas no estilo MCP, incluindo oito variantes maliciosas derivadas de projetos open source reais, o sistema atinge F1 de 0,86 para a classe de negação e classifica corretamente todos os 20 cenários de autorização em tempo de execução.
A Zenity Labs revelou uma vulnerabilidade no ChatGPT Agent Builder, batizada de AgentForger, que permitia a um atacante criar, autorizar e implantar um agente autônomo malicioso dentro do workspace de uma vítima apenas com o clique em um link. A falha explorava o fato de que o parâmetro de URL que define o prompt inicial do agente era executado automaticamente ao carregar a página, sem exigir qualquer confirmação humana. A OpenAI corrigiu o problema em 8 de junho de 2026.
Um artigo de opinião argumenta que times de segurança avançaram na descoberta e inventário de agentes de IA dentro das organizações, mas ainda falham em impor limites reais sobre suas ações. A proposta central é migrar de um modelo de permissões estáticas para um enforcement contextual, que correlacione identidade, permissões e intenção antes de autorizar uma ação específica do agente.
Um invasor instalou o assistente open source Hermes, da Nous Research, em um servidor alugado, desativou as confirmações de segurança do modo "YOLO" e o apontou para a rede do Ministério das Finanças da Tailândia. Operando de forma autônoma, o agente varreu hosts em busca de escalonamento de privilégio, vasculhou sistemas de arquivos e ajudou a implantar backdoors, em um caso raro de pós-exploração conduzida majoritariamente por um agente de IA sem intervenção humana constante.
A empresa de segurança Accomplish AI encontrou uma vulnerabilidade no Claude Cowork, da Anthropic, que permitia escapar da máquina virtual Linux onde o agente de IA é executado e ler ou escrever arquivos em qualquer parte do sistema macOS do usuário. O problema afetava cerca de 500 mil usuários que rodavam o Cowork localmente e explorava uma falha do kernel Linux relacionada ao subsistema Traffic Control, rastreada como CVE-2026-46331.
Pesquisadores demonstraram uma nova classe de ataque, batizada de Agent Data Injection (ADI), que engana agentes de IA ao corromper os dados que eles julgam confiáveis, sem precisar sequestrar as instruções originais da tarefa. Usando caracteres que imitam delimitadores estruturais (aspas, chaves, cifrões), o ataque cria campos falsos que o modelo interpreta como parte legítima do contexto. A técnica atingiu de 31% a 100% de sucesso contra agentes como Claude in Chrome, Claude Code, OpenAI Codex e Gemini CLI, dependendo do tipo de dado manipulado.
Um dos coordenadores da categoria ASI06 (Memory & Context Poisoning) do OWASP Top 10 for Agentic Applications detalha por que agentes que preservam memória e contexto entre sessões abrem uma nova classe de risco. Conteúdo malicioso injetado numa interação pode ser "lembrado" e reaproveitado em ações futuras do agente, transformando um prompt injection pontual em comprometimento persistente. O texto argumenta que recursos de memória, pensados para tornar agentes mais úteis, precisam de isolamento de confiança e validação de origem para não virarem vetor permanente de ataque.
O ARGUS ataca a variante mais difícil da injeção de prompt: a sensível ao contexto, que se disfarça de conteúdo legítimo do fluxo de trabalho do agente. A defesa busca bloquear instruções escondidas no material processado sem sacrificar a autonomia que torna o agente útil.
A OWASP GenAI Security Project publicou o FinBot, um ambiente de CTF (capture-the-flag) que simula uma aplicação financeira com múltiplos agentes e acesso real a ferramentas, descrito como o "Juice Shop" da IA agêntica. A proposta é dar a desenvolvedores e profissionais de segurança um espaço prático para explorar riscos como abuso de ferramentas, escalonamento entre agentes e manipulação de contexto, complementando o material teórico já publicado pelo projeto. Por ser hands-on e multiagente, o desafio ajuda equipes de red team e blue team a validar controles antes de enfrentar cenários reais de produção.
Pesquisadores consolidaram 78 estudos sobre ataques de injeção de prompt a assistentes de codificação agênticos (Claude Code, Cursor e similares) numa taxonomia por vetor de entrega, modalidade e comportamento de propagação. O dado mais duro: ataques adaptativos superam 85% de sucesso mesmo contra as defesas mais avançadas avaliadas.
A OWASP GenAI Security Project lançou o "Top 10 for Agentic Applications", framework que cataloga os principais riscos de sistemas de IA autônomos que usam ferramentas e agem no mundo real. O documento foi construído a partir de incidentes reais e da colaboração de mais de 100 especialistas do setor, oferecendo a times de segurança um vocabulário comum e prioridades concretas de mitigação diante da adoção acelerada de agentes de IA.
Em comunicado complementar ao lançamento do framework, a OWASP GenAI Security Project detalhou os dez principais riscos identificados para aplicações de IA agêntica e as mitigações recomendadas para cada um, fruto de mais de 100 contribuições de líderes da indústria. O material orienta arquitetos e equipes de segurança na avaliação de agentes que interagem com sistemas externos, cobrindo desde abuso de ferramentas até falhas de isolamento entre agentes.
A taxonomia "Agentic AI - Threats and Mitigations", da iniciativa OWASP ASI, está sendo incorporada por ferramentas como PENSAR, SPLX.AI Agentic Radar e AI&ME para testar e proteger sistemas agênticos multiagente com acesso real a ferramentas. O artigo mostra como esse vocabulário comum de ameaças deixou de ser apenas teórico e passou a embasar avaliações práticas de risco - como abuso de ferramentas e escalonamento entre agentes - feitas por equipes de red team e de defesa, além de alimentar o que viria a ser o Top 10 for Agentic AI.