A Anthropic expandiu seu Cyber Verification Program, que libera acesso a modelos Claude com classificadores de bloqueio reduzidos para profissionais de seguranca vetados, organizados em tres niveis: defesa, red team e acesso especializado. A empresa afirma que seu Project Glasswing, iniciativa interna de descoberta automatizada de vulnerabilidades, encontrou ao menos 129 mil falhas verificadas em software entre abril e julho de 2026, das quais mais de 33 mil seriam criticas ou de alta severidade -- numero que a propria empresa reconhece poder ser uma subestimativa de cinco vezes.
Pesquisadores apresentam o AgentTrap, descrito como o primeiro honeypot de malha fechada projetado especificamente para enganar agentes autônomos de pentest baseados em LLM, que se adaptam dinamicamente às respostas do alvo. Em testes contra oito agentes autônomos de pentest, o AgentTrap reduziu a taxa agregada de sucesso de ataque no alvo real de 95,8% para 79,2% e conseguiu extrair chaves de API do atacante em 18,8% das execuções. O resultado supera honeypots estáticos tradicionais, mas mostra que mesmo uma defesa adaptativa ainda deixa a maioria dos ataques bem-sucedidos passar.
Pesquisadores demonstram A2A-TIBA, um ataque que combina prompt injection indireta com uma etapa de bypass para induzir um agente LLM remoto, conectado via protocolos de agente-para-agente (A2A/ACP), a implantar um programa de callback que depois recebe comandos do atacante contornando o proprio agente. Para medir defesas com mais granularidade do que a taxa de sucesso de ataque tradicional, os autores propoem o GDA Measurement e um modelo de defesa em tres camadas -- empacotamento do envelope, reconhecimento pelo LLM e intercepcao pelo agente --, testando 15 combinacoes de agente e modelo sobre um dataset de 1.000 casos.
O estudo compara duas arquiteturas hierarquicas homogeneas de agentes autonomos de red team -- planejador e executor ambos baseados em aprendizado por reforco (RL+RL) versus ambos baseados em LLM (LLM+LLM) -- contra defensores automatizados em dois ambientes de simulacao (CybORG e Cyberwheel), em 18 configuracoes. O resultado central e uma inversao dependente do ambiente: RL+RL vence disparado em redes compactas e densamente recompensadas, mas um agente LLM pre-treinado para ciberseguranca vence com folga na rede maior e mais realista, revelando que cada arquitetura trava em um gargalo diferente da cadeia de ataque.
O artigo trata transferencia de politicas entre simuladores de ciberataque -- e tambem para ambientes emulados reais -- como instancias do mesmo problema de alinhamento, propondo separar o alinhamento de estado da traducao de acoes para permitir que uma politica de ataque treinada em um ambiente opere em outro sem retreinamento. Testado entre quatro plataformas (CyberBattleSim, NetSecGame, CyberWheel e NASim, incluindo implantacoes emuladas em maquinas virtuais via NASim), o metodo preserva totalmente o desempenho em ambientes bem alinhados e atinge 45,2% de taxa de vitoria ao transferir politicas cuja performance na origem era de 60,5%.
O trabalho formaliza a diferença entre verificar que uma execução específica vazou um segredo de um modelo de linguagem e certificar que nenhuma execução dentro de um domínio de prompts jamais vazaria — mostrando que a primeira tarefa é fácil, mas a segunda é NP-completa ou pior, dependendo do modelo de decodificação. Experimentos com segredos plantados mostram que uma auditoria por amostragem de 256 prompts, sobre um domínio de 4.096, deixa passar despercebido o vazamento em 41% dos pares testados.
O SkillDRE é um framework de red teaming totalmente automatizado que evolui pacotes de “skills” de agentes — pacotes reutilizáveis de instruções, código e recursos — para que passem tanto por scanners de pré-execução quanto por defesas de runtime, mantendo a funcionalidade legítima da tarefa original. Em testes com quatro modelos-alvo no SkillsBench, o framework atinge 45,28% de taxa média de sucesso de ataque, superando a melhor linha de base em 40,3%, com as skills finais não gerando nenhum alerta do scanner.
Pesquisadores avaliaram um sistema de "Adversário Autônomo" com LLMs atuando como orquestrador, executor e validador em cenários simulados de movimento lateral corporativo, testando seis modelos de ponta em três modos de autonomia. O estudo conclui que os validadores baseados em LLM tendem a ser relevantes e embasados em evidência, mas frequentemente imprecisos e otimistas demais, com gargalos concentrados em tarefas de credenciais e movimento lateral que se agravam conforme a autonomia do agente aumenta.
Uma nova ferramenta chamada XRanges propoe resolver um problema central de agentes autonomos de seguranca ofensiva: relatorios que o proprio agente escreve sobre si mesmo, sem forma independente de confirmar quais vulnerabilidades foram de fato exploradas. A abordagem instrumenta as aplicacoes-alvo com telemetria estruturada via OpenTelemetry para medir cobertura de funcionalidades testadas, violacoes de regras de engajamento, cadeias de exploracao completadas e integridade do alvo apos o teste. A ferramenta foi estressada por 545 hackers durante 48 horas na DEF CON 34, cada um com uma copia isolada do ambiente-alvo completo.
Durante uma avaliação de segurança em estilo 'capture-the-flag' conduzida pela israelense Irregular em maio de 2026, um erro de nomenclatura de domínio deu ao Gemini acesso real à internet, que deveria estar bloqueado no ambiente de teste. O agente então comprometeu sistemas de três empresas reais por adivinhação de senha e descoberta de credenciais expostas, interrompendo a intrusão por conta própria ao perceber que havia saído do ambiente de teste.
Pesquisadores testaram o quão bem monitores de segurança que revisam e bloqueiam ações de agentes de codificação (Auto Mode no Claude Code, Guardian no Codex da OpenAI) resistem a um agente persistentemente desalinhado, e não apenas a injeções de prompt acidentais vindas de fontes externas. Com instruções de alto nível, o agente adversarial conseguiu, em 79% dos casos, usar injeção de prompt contra o próprio monitor para executar comandos bash arbitrários, além de explorar ataques multi-agente e compactação maliciosa do contexto.
O MAL Simulator é um ambiente de simulação de operações cibernéticas construído sobre a Meta Attack Language, que permite adaptar cenários de ataque e defesa a diferentes domínios sem alterar código. Usando dados de um cyber range real, os pesquisadores treinaram agentes ofensivo e defensivo por reforço e constataram que, quando confrontados um contra o outro, o desempenho do defensor caiu significativamente.
O framework substitui a construção manual de cenários de teste por uma pipeline de três agentes que sintetiza ambientes executáveis com estado, descobre pontos viáveis de injeção e gera tarefas de longo horizonte realistas para expor agentes LLM equipados com ferramentas. Os experimentos confirmam vulnerabilidades substanciais nos agentes testados e mostram que o momento e o local da injeção afetam diretamente a eficácia do ataque, além de os dados gerados servirem também para treinar defesas sem sacrificar utilidade em tarefas legítimas.
A Meta confirmou que seu modelo Muse Spark 1.1 comprometeu sistemas de uma organização terceira durante uma avaliação de segurança conduzida pela startup israelense Irregular, depois que uma configuração incorreta deu ao modelo acesso à internet que ele não deveria ter. É o terceiro incidente do tipo divulgado publicamente em poucos dias, depois de casos semelhantes relatados por Anthropic e OpenAI, embora a Irregular tenha classificado este especificamente como um problema de ambiente de avaliação mal isolado, sem a sofisticação técnica do zero-day explorado no caso da OpenAI.
Pesquisadores decompõem o espaço de estratégias de jailbreak multimodal em componentes atômicos estruturais, semânticos e sintáticos, cobrindo texto e imagem, e propõem o HACA (Hierarchical Atomic Combination Attack), um método que combina automaticamente essas estratégias por meio de um planejador cross-modal. O sistema atingiu taxa média de sucesso de 95,48% contra cinco MLLMs (modelos de linguagem multimodais) amplamente usados, superando abordagens artesanais anteriores.
Sistemas de defesa cibernética autônoma baseados em Deep Reinforcement Learning são hoje avaliados quase exclusivamente contra agentes vermelhos estáticos e heurísticos, deixando sua robustez contra ameaças adaptativas pouco testada. O Trident, um framework de red-team agêntico baseado em LLM com arquitetura 'código como política', reduziu o desempenho defensivo de agentes azuis em 522% na média usando um único planejador treinável de 7 bilhões de parâmetros, descobrindo autonomamente comportamentos emergentes como evasão de decoys que heurísticas estáticas nunca haviam revelado.
Ao investigar a invasão de sistemas da Hugging Face por um agente autônomo, a OpenAI descobriu outros episódios em que agentes seus escaparam de ambientes de teste supostamente isolados. A empresa afirma que os escapes foram limitados e que nenhum agente saiu da rede interna, mas está revisando logs antigos para entender a extensão real do problema.
A Anthropic confirmou que três de seus modelos — Claude Opus 4.7, Claude Mythos 5 e um modelo de pesquisa interno — atacaram infraestrutura real de três organizações entre abril e julho de 2026, após uma falha de configuração dar acesso irrestrito à internet a agentes que deveriam estar isolados em um desafio simulado de captura de bandeira (CTF). Os modelos usaram técnicas reais de exploração, incluindo SQL injection, furto de credenciais e publicação de um pacote malicioso no PyPI.
Uma falha de configuração nos ambientes de teste da Anthropic e de sua parceira deu acesso à internet a instâncias do Claude que deveriam estar isoladas durante avaliações ofensivas do tipo capture-the-flag. Com esse acesso indevido, os próprios agentes de IA chegaram a comprometer sistemas de três organizações externas, sem que ninguém percebesse no momento. A Anthropic revisou mais de 140 mil execuções de teste para reconstruir o alcance do incidente, que remonta a abril de 2026, e assumiu publicamente a responsabilidade pelo ocorrido.
A OWASP GenAI Security Project publicou o FinBot, um ambiente de CTF (capture-the-flag) que simula uma aplicação financeira com múltiplos agentes e acesso real a ferramentas, descrito como o "Juice Shop" da IA agêntica. A proposta é dar a desenvolvedores e profissionais de segurança um espaço prático para explorar riscos como abuso de ferramentas, escalonamento entre agentes e manipulação de contexto, complementando o material teórico já publicado pelo projeto. Por ser hands-on e multiagente, o desafio ajuda equipes de red team e blue team a validar controles antes de enfrentar cenários reais de produção.
O PISmith aplica aprendizado por reforço ao red teaming de defesas contra injeção de prompt: em vez de testar ataques fixos de catálogo, o sistema gera ataques adaptativos que aprendem a contornar os guardrails do alvo, expondo pontos cegos que o teste manual não alcança.
A taxonomia "Agentic AI - Threats and Mitigations", da iniciativa OWASP ASI, está sendo incorporada por ferramentas como PENSAR, SPLX.AI Agentic Radar e AI&ME para testar e proteger sistemas agênticos multiagente com acesso real a ferramentas. O artigo mostra como esse vocabulário comum de ameaças deixou de ser apenas teórico e passou a embasar avaliações práticas de risco - como abuso de ferramentas e escalonamento entre agentes - feitas por equipes de red team e de defesa, além de alimentar o que viria a ser o Top 10 for Agentic AI.