Um novo benchmark que reproduz um SIEM real mostrou que cinco estrategias representativas de agentes LLM para triagem de alertas de seguranca erram pelo menos 40% dos alertas ligados a um ataque real de multiplas etapas. Os autores propoem o AIDA, um framework multiagente com desafio adversarial obrigatorio antes de descartar um alerta, que reduziu essa taxa de falsos negativos para 3,1%.
Agentes LLM que usam ferramentas costumam violar silenciosamente as politicas que deveriam seguir, e as defesas existentes ou dependem de regras escritas a mao, ou de um verificador LLM por acao, ou de maquinaria formal pesada. O NOMOS compila uma politica em linguagem natural em um portao deterministico de chamadas de ferramenta usando apenas verificacao estatica baseada no esquema das ferramentas, reduzindo violacoes de 66,3% para 2,6% em um cenario de companhia aerea e chegando a zero por cento de sucesso de ataque no setor bancario.
Pesquisadores da University of Central Florida apresentaram o CredLeakBench, um benchmark que mede se agentes de LLM autonomos vazam informacoes sensiveis quando confrontados com tentativas de phishing, cobrindo tanto autenticacao solicitada pelo usuario quanto monitoramento autonomo de caixa de entrada sem pedido explicito de login. Todos os modelos avaliados se mostraram vulneraveis a algum grau de vazamento, inclusive revelando dados durante monitoramento passivo de e-mail, e as mitigacoes que reduzem o vazamento tendem a prejudicar a capacidade do agente de completar tarefas legitimas.
Pesquisadores propuseram um framework de verificacao em tempo de execucao que decompoe politicas em linguagem natural em obrigacoes espaciais, temporais e semanticas, verificando cada aspecto separadamente e fundindo os veredictos por uma algebra de quatro valores com rastreabilidade (provenance). Testado em cenarios de evacuacao de vitimas e sustentacao logistica em zona de conflito, o sistema levou o sucesso de ataques a zero sem falsos positivos observados e com custo de microssegundos por evento, enquanto verificar apenas um ou dois aspectos isoladamente deixava boa parte dos ataques passarem.
Pesquisadores do Google apresentaram o ASPIRE, um motor de red-teaming que mantem um grafo de comportamentos de seguranca de agentes em constante evolucao e usa dois agentes complementares -- um de exploracao e outro de exploracao intensiva (exploit) -- para descobrir, verificar e generalizar testes de prompt injection indireto centrados em consequencias reais, em vez de cobrir apenas cenarios pre-definidos pelo pesquisador humano.
Pesquisadores apresentaram o TwinGuard-Lite, um gateway que decide se uma atualizacao proposta ao estado persistente de um 'gemeo digital' de paciente -- um sistema que combinaria prontuarios longitudinais com agentes de LLM e memoria entre sessoes -- deve ser admitida, com base em verificacao de proveniencia, deteccao de contradicao com o registro existente e verificacao de namespace para impedir que dados de um paciente vazem para o gemeo de outro. Em simulacoes com dados semi-sinteticos derivados do banco eICU, o gateway completo atingiu 99,1% de precisao e 90,5% de revocacao contra tres familias de ataque, superando filtros de palavra-chave, detectores de anomalia e verificacao de proveniencia isolada.
Pesquisadores propuseram o Secure-CUA, um sistema que protege agentes de uso de computador (Computer-Use Agents) contra conteudo malicioso embutido em interfaces graficas ao comprometer-se com um 'programa' explicito de acao antes de acessar qualquer conteudo nao confiavel, mascarando regioes nao confiaveis da tela e isolando as consultas que dependem desse conteudo. Em 400 tarefas do benchmark WebArena com tres modelos de fronteira, o sistema manteve taxa de sucesso de 53,55% (contra 55,12% da versao sem protecao), uma perda minima de utilidade em troca de seguranca formalmente garantida sob as premissas do modelo.
Pesquisadores propõem um framework de detecção de prompt injection indireta em assistentes de email que, em vez de classificar cada texto isoladamente como malicioso ou não, modela o ataque como uma sequência de estágios -- combinando um detector de texto, verificadores específicos por estágio, regras de risco e checagem de consistência entre a intenção do usuário e as ações do agente. O método atingiu F1 médio de 0,406 contra 0,216 do melhor detector pré-treinado avaliado, e mostrou que treinar com emails benignos que se parecem com ataques reduz falsos positivos sem perder sensibilidade.
O AGATE é um gate de autorização e proveniência instalado na fronteira entre o agente de LLM e o harness que o executa, capaz de bloquear ataques que combinam operações individualmente inofensivas em uma sequência prejudicial. Testado em três harnesses de produção (DeepSeek Harness, OpenCode, OpenClaw) sem alterar o código deles, o sistema processou 153 registros de cadeias de ataque e identificou um bypass via reescrita de parâmetros, além de mostrar que políticas baseadas em conteúdo geram negações em mais da metade de cenários benignos de processamento de arquivos.
Sistemas de agentes de IA em produção, como Codex e Claude Code, hoje protegem chamadas de ferramenta com uma mistura de regras estáticas e julgamento do próprio LLM sobre cada ação -- e o julgamento por LLM é inconsistente e vulnerável a prompt injection indireto. O MetaPermit propõe que um LLM só infira meta-atributos da situação (intenção do usuário, contexto de execução, natureza da chamada proposta), enquanto uma política determinística e fixa decide permitir ou negar, alcançando 31% mais consistência e zero chamadas maliciosas executadas nos benchmarks testados.
Pesquisadores apresentam o AEGIS, um componente de aplicação de políticas para o Model Context Protocol (MCP) que normaliza chamadas de ferramentas multimodais (texto, imagem, vídeo, localização) em uma representação única para detectar e barrar abusos de recursos. O sistema se integra ao Open Policy Agent e ao ContextForge AI Gateway para permitir que administradores definam salvaguardas granulares sem travar a flexibilidade do ecossistema de agentes.
Um novo método de diagnóstico instrumenta tarefas de segurança executadas por agentes LLM com checkpoints, separando falhas que ocorrem antes de o agente sequer alcançar a capacidade necessária das falhas que ocorrem depois. Aplicado ao Gemini 2.5 e 3.7 Flash em tarefas de reutilização de estado observado, o estudo mostra que uma mesma intervenção de prompt que ajuda uma geração de modelo pode não ajudar, ou até atrapalhar, a geração seguinte.
Pesquisadores demonstram um ataque onde conteúdo aparentemente relacionado à tarefa engana modelos DeepSeek e Claude a incluírem atributos protegidos (dados pessoais, credenciais) como argumentos de chamadas de ferramenta 'legítimas', mesmo com políticas de privacidade no prompt. Em benchmark controlado com 120 chamadas, a taxa de vazamento variou de 20,8% a 75% conforme o modelo, mostrando que políticas de privacidade em texto de prompt não bloqueiam o problema de forma confiável.
A arquitetura Z²-ACT integra tradução de intenção via LLM, contratos formais de intenção, verificação zero-trust de prompt e auditoria criptográfica para manter agentes de IA que controlam redes 6G abertas e multi-fornecedor seguros e auditáveis mesmo sob entradas não confiáveis. Testes sobre medições públicas do ColO-RAN mostram melhor filtragem de ações e maior resiliência a ataques, com custo modesto de latência frente a uma baseline de aprendizado por reforço convencional.
ClawSentry é um gateway de segurança agnóstico de framework que audita pacotes de 'skills' de terceiros antes da primeira execução e monitora o agente em runtime em três camadas de profundidade crescente, funcionando sobre Codex, Claude Code, Kimi CLI e Gemini CLI sem alterar os agentes. No benchmark SkillInject, a taxa de sucesso de ataque caiu de 39,55% para 2,61% com perda mínima de utilidade (98,7% de tarefas legítimas ainda completadas).
TraceGrant governa o ciclo de vida completo de 'tarefa para efeito' de agentes de LLM conectados a e-mail, nuvem e serviços web, estabelecendo um Contrato de fronteira de autoridade antes da execução, restringindo o que evidências admitidas podem autorizar durante a execução, e verificando o resultado real contra o que foi de fato executado depois. Em 949 casos do AgentDojo e 400 do Agent Security Bench, o framework registrou zero sucessos de ataque mantendo utilidade sob taxas de ataque de 77% e 83%.
AID-Guard propõe um protocolo de autorização com estado que revalida a requisição aprovada e o estado do provedor no momento do commit, evitando que uma perda de resposta ou uma retentativa gere um segundo efeito indevido a partir de uma única aprovação. Sob compromisso total do proponente, o protocolo bloqueou 44 de 44 ataques e admitiu 44 de 44 propostas legítimas equivalentes, ao custo de reduzir utilidade benigna em até 44 pontos percentuais no perfil mais estrito.
SlotGuard é uma proposta para impedir que agentes de LLM vazem caminhos de arquivo, e-mails e credenciais capturados de saídas de ferramentas, logs de shell e leituras de arquivo que acabam anexadas ao transcript enviado ao provedor do modelo. Em vez de redação por placeholder — que os autores mostram ser frágil, perdendo referências entre turnos e destruindo estrutura útil ao raciocínio —, o sistema reescreve vínculos estruturais em "slots" tipados e substitui segredos por valores sintéticos que preservam o formato original.