Pesquisadores propõem o TokenScanner, um método para detectar LoRAs (adaptadores de baixa dimensão) maliciosos em modelos de difusão texto-para-imagem, que se comportam normalmente até um token-gatilho escondido no prompt ativar conteúdo definido pelo atacante. A técnica varre toda a vocabulário do tokenizador medindo a resposta específica de cada token dentro do LoRA e atinge 95,96% de AUC na detecção, além de identificar o próprio token-gatilho em até 99,4% dos casos entre os cinco candidatos mais prováveis.
Pesquisadores propõem um framework de detecção de prompt injection indireta em assistentes de email que, em vez de classificar cada texto isoladamente como malicioso ou não, modela o ataque como uma sequência de estágios -- combinando um detector de texto, verificadores específicos por estágio, regras de risco e checagem de consistência entre a intenção do usuário e as ações do agente. O método atingiu F1 médio de 0,406 contra 0,216 do melhor detector pré-treinado avaliado, e mostrou que treinar com emails benignos que se parecem com ataques reduz falsos positivos sem perder sensibilidade.
O Delphi Scanner é um sistema de detecção estática de malware para executáveis PE do Windows que combina uma rede neural convolucional sobre sequências de chamadas de API com uma camada de interpretação baseada em regras, atingindo 95,35% de acurácia em mais de 190 mil arquivos com um modelo de apenas 1,53 MB. Testes de robustez em amostras fora de distribuição e sob três estratégias de manipulação adversarial mostram resistência a técnicas de evasão que preservam a funcionalidade do malware.
O framework DDQN-MLP usa um Double Deep Q-Network apenas durante o treinamento, para ponderar dinamicamente a importância de cada amostra com base em perda e confiança de predição, guiando um classificador MLP final que é o único componente mantido em produção. Avaliado com validação cruzada em 2.000 perfis executáveis de 30 famílias de ransomware, o sistema atinge 99,3% de acurácia e mantém robustez sob testes adversariais white-box.
Pesquisadores lançaram o SkillAtlas, um repositório público que converte relatórios confidenciais de segurança sobre "agent skills" em casos revisados, redigidos e pesquisáveis. A base já reúne 3.014 casos, 6.589 traces de execução e 151 mil passos individuais, cobrindo 233 skills afetadas em 8 categorias de risco, tornando visível um tipo de incidente que normalmente fica restrito a relatórios privados de fornecedores.
O SkillSecurer é um framework agentic de ponta a ponta para gerar, detectar, localizar e corrigir riscos de segurança em "agent skills", combinando um agente vermelho que gera injeções contextualmente plausíveis com um agente azul que analisa pacotes completos e propõe correções. Aplicado a skills reais publicadas no marketplace skills.sh, o framework identificou vulnerabilidades latentes em mais de 17% das skills examinadas e chegou a disparar incidentes reais ao testar algumas delas, evidenciando o risco concreto de instalar skills não verificadas.
Pesquisadores combinaram duas técnicas já estabelecidas de detecção de backdoor — análise de assinatura espectral e clustering de ativações — em um único score de poisoning por amostra, aplicado a modelos de imagem médica usados em apoio diagnóstico. A fusão atinge AUROC igual ou superior a 0,99 em todas as taxas de poisoning testadas no benchmark médico, mas os próprios autores mostram que o mesmo método falha de forma severa em imagens naturais (CIFAR-10) sob poisoning mais agressivo, um alerta importante sobre generalização de defesas de segurança de ML entre domínios.
Um levantamento sobre alertas de segurança relacionados a IA em ambientes corporativos mostra crescimento de 685% entre fevereiro e junho de 2026, mas apenas 0,02% desses alertas correspondem a ataques reais causados por agentes de IA. A grande maioria é ruído gerado por regras de detecção legadas que não reconhecem o comportamento normal de ferramentas de IA.
A Microsoft descreveu como o Defender identifica campanhas de phishing e malware que usam marcas de IA populares (ChatGPT, Claude, DeepSeek) como isca, incluindo e-mails falsos de cobrança, instaladores fraudulentos e malvertising que entrega o stealer Vidar via redirecionamentos em múltiplos estágios. A empresa afirma interromper mais de 45 mil ataques do tipo adversary-in-the-middle por mês usando uma combinação de filtros de pré-entrega e disrupção automática pós-comprometimento.
Pesquisadores propõem um teste de caixa-preta barato para checar se um LLM baixado de um repositório público esconde um backdoor: alimentar repetidamente a própria saída do modelo de volta como entrada, deixando o texto derivar até tocar nos dados usados no fine-tuning malicioso. A técnica encontrou backdoors em cinco de seis modelos testados com 92% de precisão agregada, contra apenas um acerto em 120 tentativas de um baseline que repete o mesmo prompt.
LoRAScan explora o fato de que, em adaptadores LoRA comprometidos, cerca de 5% dos pontos de inserção permanecem estáveis em entradas limpas mas disparam picos de ativação na camada de down-projection quando um gatilho de backdoor está presente. Monitorando esses pontos em tempo de inferência, sem modificar os pesos do adaptador, o método rejeita cerca de 98,5% das entradas maliciosas com baixa taxa de erro em entradas legítimas, superando defesas anteriores que diluem o sinal de backdoor ao mesclar o adaptador ao modelo base ou apenas sinalizam o adaptador inteiro como suspeito.
Os autores mostram que ataques de envenenamento de RAG bem-sucedidos costumam produzir respostas com perplexidade ainda menor que gerações benignas, o que invalida detectores baseados em incerteza, mas induzem um padrão interno diferente, batizado 'Attention Collapse': a atenção do modelo se concentra nos documentos envenenados em vez de ficar dispersa entre as fontes recuperadas. A partir dessa observação, o framework D-SCAN monitora a dinâmica de atenção em nível de documento para sinalizar gerações atacadas, inclusive nos casos em que o ataque falha em mudar a resposta final.
Pesquisadores propõem um detector de injeção de prompt indireta que segmenta um texto em frases benignas e maliciosas levando em conta o contexto e a consulta original do usuário, algo que abordagens anteriores não faziam de forma combinada. O trabalho também introduz duas formas de treinamento adversarial para blindar o classificador contra tentativas de evasão, superando as defesas existentes tanto em ataques estáticos quanto adaptativos.
Pesquisadores apresentam o AMS (Activation-based Model Scanner), que detecta modificações no treinamento de segurança de LLMs medindo a geometria de conceitos relacionados a conteúdo nocivo no espaço de ativações do modelo. Testado em 14 configurações de quatro famílias de modelos abertos (Llama, Gemma, Qwen, Mistral), o AMS classifica corretamente 10 de 14 casos em validação cruzada, e a métrica que ele extrai se correlaciona de forma estatisticamente significativa com o quanto o modelo de fato obedece a pedidos prejudiciais em testes de jailbreak.
Um novo estudo mostra que LLMs agentic frequentemente 'sabem' internamente que estão sob um ataque de prompt injection indireta antes mesmo de decidir como agir, e que esse sinal pode ser extraído por um simples classificador linear treinado sobre os estados ocultos do modelo. Os autores identificam, porém, uma lacuna entre esse reconhecimento interno e a ação tomada, e propõem uma defesa que usa esse sinal para forçar um raciocínio anti-injeção sob demanda.
Pesquisadores propoem o ChainWatch, um framework que modela a progressao de ataques contra agentes de IA baseados em Model Context Protocol (MCP) como uma cadeia de seis estagios, detectando sequencias maliciosas compostas por chamadas de ferramenta individualmente inofensivas. A abordagem ataca diretamente a limitacao das defesas atuais, que inspecionam cada chamada isoladamente e por isso nao enxergam padroes de ataque distribuidos ao longo de uma sessao.
Defesas para agentes LLM hoje avaliam cada sessão isoladamente, mas um atacante pode espalhar uma campanha entre agentes, equipes e runtimes independentes, deixando cada guarda-corpo local só com um fragmento esparso do ataque. Os autores formalizam esse problema de atribuição assíncrona entre agentes e propõem os A²FV (Asynchronous Attribution Fingerprint Vectors), um protocolo leve do lado do proxy que liga sessões da mesma campanha usando apenas uso de ferramentas, temporização e resíduos de prompt observáveis externamente, sem acesso a identidade do atacante ou rótulos de campanha em tempo de teste.