Um estudo empírico rastreou 16.977 modelos do Hugging Face já sinalizados como vulneráveis — por falhas como serialização insegura e backdoors arquiteturais — e encontrou mais de 21 mil ocorrências desses modelos em código, espalhadas por mais de 5 mil repositórios open-source, sendo que 3.757 modelos distintos (22,1%) continuam sendo referenciados ativamente mesmo depois de sinalizados. Os autores não encontraram, nos padrões de integração analisados, nenhuma verificação de proveniência ou lógica de sanitização dos modelos antes do uso.
Pesquisadores demonstram que os bits menos significativos (LSBs) dos pesos de ponto flutuante de 32 bits em modelos Transformer como BERT e ViT podem ser usados como canal encoberto para esconder payloads maliciosos na cadeia de suprimentos de modelos de IA, e propõem o GrayShield, um metodo de sanitizacao pos-treinamento que elimina esse canal sobrescrevendo os bits com uma sequencia guiada por codigo Gray. A tecnica reduz a recuperacao do payload a nivel de chance binaria, com impacto de acuracia inferior a 1% e menor distorcao na distribuicao dos pesos do que as defesas alternativas avaliadas.
Pesquisadores revisitaram o clássico ataque "Reflections on Trusting Trust", de Ken Thompson, aplicando-o a agentes de codificação que reescrevem seu próprio código com base em autoavaliação. Ao contaminar os benchmarks usados nesse processo de autoaperfeiçoamento, conseguiram induzir agentes como o Hyperagents (rodando sobre Sonnet 4.5) a evoluir instruções que desativam a validação de certificado HTTPS em tarefas completamente neutras. A contaminação frequentemente persiste mesmo depois que o agente volta a ser treinado com benchmarks limpos.
O framework PentestChain combina um modelo local pequeno (qwen2.5-7b via Ollama), camadas gratuitas de OpenRouter e Cerebras e um mapa determinístico de exploits para realizar testes de penetração automatizados a custo zero de API, expondo tudo via um servidor MCP com onze ferramentas. Os autores também mapeiam a própria superfície de ataque que um servidor MCP ofensivo introduz, citando incidentes reais como a falha remota CVE-2025-6514 no mcp-remote e o backdoor de cadeia de suprimento no pacote postmark-mcp.
Pesquisadores demonstraram o AGENTQ, um ataque de backdoor condicionado à quantização que permite publicar um checkpoint de LLM em ponto flutuante completo, aparentemente limpo em qualquer auditoria, mas que passa a executar ações maliciosas assim que é quantizado para formatos como NF4, FP4 ou INT8 — o caminho de implantação padrão para a maioria dos agentes de peso aberto. O ataque atinge até 100% de taxa de sucesso pós-quantização preservando a utilidade normal do agente, tanto no checkpoint original quanto no quantizado em condições sem gatilho.
Um censo de segurança cobrindo os 21.643 servidores do registro público do Model Context Protocol (MCP) — a interface pela qual aplicações de LLM acessam ferramentas externas — encontrou exposição de rede sem autenticação em 9,57% dos servidores escaneados e, mais grave, um padrão generalizado de instabilidade: 51,1% dos servidores multiversão mudaram o que anunciam entre versões, 40,6% o fizeram silenciosamente, e essa "deriva silenciosa" está associada a quase três vezes mais chance de um achado de severidade alta.
Pesquisadores demonstram o Load Hijack, um ataque de cadeia de suprimentos em que um provedor malicioso de checkpoints modifica apenas os pesos do roteador de um modelo Mixture-of-Experts, mantendo um gatilho privado que, quando presente na entrada, concentra o roteamento de tokens em experts hospedados numa única GPU — transformando esse dispositivo num gargalo que atrasa todos os pares em paralelismo de especialistas, sem alterar visivelmente o comportamento do modelo em entradas normais. O ataque atinge de 92,3% a 95,6% de concentração de tokens nos experts alvo e, em serviço real, aumenta o tempo até o primeiro token em 43% enquanto derruba o throughput.
O Paperclip, control plane open source para orquestrar equipes de agentes de IA, tinha três falhas de segurança: uma execução remota de comandos com CVSS 10.0 explorável por atacante não autenticado via importação de um pacote de agente malicioso, um bypass de autenticação por DNS rebinding contra o modo local confiável, e exposição de dados de execução e detalhes do control plane por rotas de API sem autenticação adequada. Todas foram corrigidas na versão v2026.416.0.
Pesquisadores da Zafran Labs divulgaram três vulnerabilidades de alta severidade na biblioteca Diffusers da Hugging Face que permitem a um repositório de modelo malicioso executar código arbitrário na máquina de quem o carrega, contornando a proteção `trust_remote_code=False`. As falhas foram corrigidas na versão 0.38.0, lançada em maio de 2026.