Pesquisadores propuseram o Ajar, um metodo para medir quanto 'privilegio aberto' -- acesso que uma defesa de agente permite, mas que nenhuma tarefa legitima realmente precisava usar -- fica fora das metricas tradicionais de sucesso de ataque e utilidade benigna. Rodando sobre a infraestrutura existente do benchmark AgentDojo, o Ajar gera chamadas de ferramenta candidatas que a tarefa nao exige e verifica se cada defesa as permite em cada ponto de decisao do agente. Testado contra cinco defesas conhecidas (Progent, CaMeL, AC4A, Permission Assistant e o modo Auto do Claude Code), o trabalho mostra que a quantidade de privilegio deixado aberto varia muito entre defesas com pontuacoes de ataque e utilidade parecidas.
Pesquisadores apresentaram o DnD (Divide and Doubt), um ataque de envenenamento de corpus contra sistemas RAG que, em vez de repetir a mesma afirmacao-alvo em documentos parecidos entre si -- padrao que defesas de similaridade conseguem agrupar e suprimir -- distribui o suporte a resposta desejada por passagens estilisticamente diversas e inclui uma passagem extra que lanca duvida sobre a evidencia da resposta correta. Testado em duas bases de QA de dominio aberto, tres LLMs e nove configuracoes de RAG, o DnD igualou ou superou ataques anteriores na maioria dos cenarios, com ganhos maiores justamente contra as defesas de clustering e deteccao de conflito que tentam neutralizar esse tipo de envenenamento.
Pesquisadores propuseram o Fed-ADR, um ataque contra aprendizado federado em que um servidor orquestrador malicioso coordena em tempo real um grupo heterogeneo de clientes adversarios -- alguns com alvo especifico, outros nao -- fazendo-os adaptar estrategicamente seus gradientes para escapar de defesas que assumem adversarios estaticos ou agindo isoladamente. O ataque reduz a acuracia do modelo global de mais de 90% para menos de 10%, contornando varias defesas consideradas estado da arte. Os mesmos autores propoem uma defesa que estima o gradiente real de cada cliente a partir do historico de atualizacoes, detectando coordenacao maliciosa sem overhead adicional relevante, e um mecanismo de recuperacao que restaura acuracia acima de 90% em poucas rodadas sem reiniciar o treinamento, com pelo menos 20 vezes menos custo computacional que retreinar do zero.
Pesquisadores demonstraram que agentes de IA que operam contas em redes sociais podem ser envenenados de forma indireta, atraves do proprio mecanismo de recomendacao da plataforma, em vez de expor conteudo malicioso diretamente ao agente. No simulador OASIS, o ataque explora o 'like-score' usado pelo sistema de recomendacao por similaridade, construindo uma cadeia multi-estagio de posts envenenados que consegue fazer a plataforma recomendar conteudo malicioso ao agente mesmo quando a similaridade entre o post e os interesses do usuario fica abaixo do limiar normal de recuperacao.
O artigo testa Behavior Trees (arvores de comportamento) como representacao intermediaria alternativa para deteccao de vulnerabilidades via LLM, mais compacta que Abstract Syntax Trees (ASTs). Usando um unico modelo local quantizado (Mistral Small 3.2 24B) sobre 460 amostras Java do Juliet Test Suite, a representacao BT melhora recall em amostras curtas e, em amostras mais longas, tanto melhora o desempenho geral quanto cabe no limite de contexto onde a AST equivalente estoura.
O artigo argumenta que a acuracia quase perfeita costumeiramente reportada por sistemas de deteccao de intrusao (NIDS) baseados em machine learning e uma 'ilusao de eficacia do modelo' que nao se sustenta contra ataques nao vistos no treino. Experimentos variando um parametro de dimensionalidade em duas metodologias distintas mostram que os classificadores detectam apenas uma fracao dos tipos de ataque genuinamente ineditos, e os autores propoem sete criterios de avaliacao para corrigir como a area mede esses sistemas.
Pesquisadores apresentam o ADeptS-Bench, benchmark que avalia se agentes de uso de computador (Computer Use Agents) resistem a ameacas embutidas na propria interface visual e se pedem esclarecimento diante de instrucoes ambiguas. Nenhum dos sete modelos avaliados consegue manter mais de 80% de sucesso em tarefas legitimas com menos de 30% de taxa de sucesso de ataque, e nenhum detecta um botao de 'reset de fabrica' disfarçado como 'Otimizar'.
Pesquisadores propõem o CTF-ABACUS, framework que reconstroi a trajetoria completa de agentes LLM em desafios de Capture-the-Flag para distinguir exploracao genuina de 'atalhos' como memorizacao, consulta externa ou adivinhacao. Aplicado a 1.435 tentativas de seis modelos em 240 desafios, o estudo mostra que apenas 62% a 87% das flags recuperadas tem exploracao efetivamente verificada por tras, indicando que benchmarks de capacidade ofensiva baseados so em contagem de flags superestimam a capacidade real dos agentes.
Pesquisadores identificam uma janela de ataque do tipo TOCTOU (time-of-check-to-time-of-use) em sistemas de IA protegidos por Root-of-Trust: os pesos de um modelo sao autenticados no carregamento, mas podem ser adulterados depois, no trajeto entre memoria e o motor de computacao, sem invalidar a verificacao inicial. O mecanismo proposto, SILK, verifica a integridade continuamente ate o ultimo instante antes do calculo, detectando 100% dos ataques testados com custo de hardware muito menor que uma Root-of-Trust completa.
Pesquisadores criaram o SECRTL-GEN, benchmark com 392 tarefas de geracao de codigo de hardware (RTL) em Verilog, SystemVerilog, VHDL e Python que testa correcao funcional e seguranca separadamente. Modelos de fronteira passam em 73% a 79% dos testes funcionais mas apenas 14% a 35% dos testes de seguranca, e modelos funcionalmente melhores nao sao necessariamente mais seguros -- um framework auxiliar, o RTL-Obliger, eleva a taxa combinada de aprovacao para 61,6% inferindo obrigacoes de seguranca implicitas a partir da propria especificacao.
Pesquisadores da Anthropic e da EPFL demonstraram que payloads auto-replicantes podem se espalhar entre agentes de IA autônomos através dos arquivos de memória persistente, como SOUL.md e MEMORY.md, que frameworks de agentes usam para manter estado entre sessões. Em testes simulados com seis agentes e cadeias de até 20 saltos, alguns payloads se tornaram mais infecciosos ao longo da propagação, mas um simples aviso de uma linha no prompt de sistema reduziu a disseminação a quase zero.