Pesquisadores testaram sistematicamente ataques de injeção de prompt contra sistemas de agentes de IA, cobrindo tanto entradas diretas de usuários quanto a comunicação entre agentes como vetor de exploração. O trabalho mostra que falhas que já afetam agentes isolados — vazamento de informação sensível, desvio de instruções — podem se propagar lateralmente quando múltiplos agentes trocam mensagens entre si, contaminando todo o pipeline multiagente a partir de um único ponto de entrada comprometido.
Pesquisadores demonstram A2A-TIBA, um ataque que combina prompt injection indireta com uma etapa de bypass para induzir um agente LLM remoto, conectado via protocolos de agente-para-agente (A2A/ACP), a implantar um programa de callback que depois recebe comandos do atacante contornando o proprio agente. Para medir defesas com mais granularidade do que a taxa de sucesso de ataque tradicional, os autores propoem o GDA Measurement e um modelo de defesa em tres camadas -- empacotamento do envelope, reconhecimento pelo LLM e intercepcao pelo agente --, testando 15 combinacoes de agente e modelo sobre um dataset de 1.000 casos.
Um novo benchmark com 60 mil interações e quase 2.900 execuções multiagente mostra que um observador passivo, olhando apenas metadados de pacotes cifrados (tamanho, direção, tempo, rajadas), consegue identificar o modelo de LLM usado, a categoria do prompt e até a tarefa executada por sistemas multiagente. A fingerprinting de modelo chega a 97,7% de acurácia balanceada, mesmo sob reformulação de prompt e mudanças de temperatura.
Pesquisadores propõem o primeiro modelo de ameaça dedicado a prompt injection em sistemas multiagente, catalogando 14 vetores de ataque em quatro categorias — incluindo canais de injeção invisíveis a defesas de perímetro, criados pela própria troca de mensagens entre agentes. Testando os 14 vetores contra um sistema de produção com 6 agentes, 67% dos agentes se mostraram vulneráveis a pelo menos uma violação de escopo mesmo com guardrails no system prompt, e quatro defesas arquiteturais combinadas derrubaram a taxa geral de sucesso de ataque de 31,2% para 4,2%.
Pesquisadores construíram um pipeline de quatro agentes LLM (Supervisor, Researcher, Validator, Executor) em LangGraph e mostraram que envenenamento de memória compartilhada e injeção indireta de prompt propagam compromisso de um agente de baixo privilégio para um de alto privilégio em 100% dos casos sem defesa. Uma camada de autorização baseada em tokens assinados e um oráculo de política independente contiveram a ação insegura final mesmo quando o julgamento do agente Validator continuava comprometido.
Um estudo empírico avalia frameworks populares de agentes de IA sob a premissa de que o modelo que dirige um agente pode ser sequestrado por um atacante, mostrando que a arquitetura padrão de credenciais amplas e autorização decidida 'dentro' do modelo falha contra as quatro ameaças centrais de delegação multiagente. Os autores implementam e testam um broker de autorização externo que bloqueia essas ameaças e reduz drasticamente as ações alcançáveis por um subagente comprometido.
Um trabalho de sistematização de conhecimento (SoK) revisa 197 estudos sobre segurança de sistemas multiagente de LLM (MAS) e propõe um framework que organiza ataques por posição do adversário, interface de interação e risco sistêmico resultante, mostrando que falhas emergem do fluxo de informação, estado, decisões e autoridade entre agentes — não apenas de falhas locais em um agente isolado.
O trabalho "Beyond the Transcript" investiga um vetor de risco pouco explorado: agentes de linguagem podem trocar informação por meio de estados ocultos contínuos, um canal que não aparece na transcrição pública das interações e pode viabilizar conluio prejudicial entre agentes sem deixar rastro observável. Os autores propõem o Verifiable Latent Alignments (VLA), um framework de três camadas para monitorar esse canal latente e, quando possível, corrigir o comportamento resultante, alcançando AUROC de 0,993 na detecção de conluio entre agentes homogêneos e 0,854 entre agentes heterogêneos em um benchmark de leilão multiagente controlado.
Sistemas de geração aumentada por recuperação (RAG) reduzem alucinação em LLMs, mas abrem uma nova superfície de ataque: envenenar os documentos recuperados para manipular a saída do modelo. O SecureCollaRAG propõe um framework tolerante a falhas bizantinas que valida dinamicamente a proveniência dos documentos usando credibilidade baseada em GNN, mantendo robustez mesmo sob distribuições de dados não-IID entre agentes colaborativos.