ClawSentry é um gateway de segurança agnóstico de framework que audita pacotes de 'skills' de terceiros antes da primeira execução e monitora o agente em runtime em três camadas de profundidade crescente, funcionando sobre Codex, Claude Code, Kimi CLI e Gemini CLI sem alterar os agentes. No benchmark SkillInject, a taxa de sucesso de ataque caiu de 39,55% para 2,61% com perda mínima de utilidade (98,7% de tarefas legítimas ainda completadas).
TraceGrant governa o ciclo de vida completo de 'tarefa para efeito' de agentes de LLM conectados a e-mail, nuvem e serviços web, estabelecendo um Contrato de fronteira de autoridade antes da execução, restringindo o que evidências admitidas podem autorizar durante a execução, e verificando o resultado real contra o que foi de fato executado depois. Em 949 casos do AgentDojo e 400 do Agent Security Bench, o framework registrou zero sucessos de ataque mantendo utilidade sob taxas de ataque de 77% e 83%.
AID-Guard propõe um protocolo de autorização com estado que revalida a requisição aprovada e o estado do provedor no momento do commit, evitando que uma perda de resposta ou uma retentativa gere um segundo efeito indevido a partir de uma única aprovação. Sob compromisso total do proponente, o protocolo bloqueou 44 de 44 ataques e admitiu 44 de 44 propostas legítimas equivalentes, ao custo de reduzir utilidade benigna em até 44 pontos percentuais no perfil mais estrito.
Pesquisadores mostram que reduzir a tensão de alimentação da GPU durante o treinamento de redes convolucionais (LeNet, VGG-6, MobileNetV3) introduz perturbações estocásticas que atuam como regularização implícita, aumentando a acurácia adversarial tanto em treino padrão quanto em treino adversarial, sem qualquer mudança de algoritmo. Como potência dinâmica escala quadraticamente com a tensão, o ganho de robustez vem acompanhado de economia de energia relevante para borda.
O 'Evaluation Agent' combina verificação factual por inferência de linguagem natural, um detector de envenenamento com cinco sinais e um Índice de Confiança combinado para identificar documentos maliciosos injetados em sistemas RAG antes que o LLM os use para gerar resposta. No TruthfulQA com Llama 3.3 70B, atingiu 91% de acurácia e 100% de recall contra injeção de instrução, mas teve dificuldade com trocas sutis de entidade e enfraquecimento semântico.
Defesas para agentes LLM hoje avaliam cada sessão isoladamente, mas um atacante pode espalhar uma campanha entre agentes, equipes e runtimes independentes, deixando cada guarda-corpo local só com um fragmento esparso do ataque. Os autores formalizam esse problema de atribuição assíncrona entre agentes e propõem os A²FV (Asynchronous Attribution Fingerprint Vectors), um protocolo leve do lado do proxy que liga sessões da mesma campanha usando apenas uso de ferramentas, temporização e resíduos de prompt observáveis externamente, sem acesso a identidade do atacante ou rótulos de campanha em tempo de teste.
Pesquisadores demonstraram que LLMs usados em SOCs para triagem e análise de logs podem ser manipulados por payloads de prompt injection escondidos em campos de log que ficam armazenados e só "disparam" quando um analista consulta o modelo depois. No framework LogInject, testado contra três LLMs de produção, o ataque atingiu até 88,2% de taxa de sucesso ao tentar ocultar atividade maliciosa, gerar falsos positivos, exfiltrar dados ou sequestrar a resposta do modelo.
MemPoison é um benchmark com 1.227 casos validados manualmente que testa ataques de envenenamento de memória persistente em dez famílias de modelos, organizados em uma taxonomia de três níveis de complexidade. O achado central é que defesas simples aplicadas no momento da escrita, como checagens de consistência, barram ataques diretos, mas falham sistematicamente contra corrupção composicional entre múltiplos registros e contra gatilhos dormentes ativados só em contexto específico.
FlowGuard é um sistema de detecção de segurança para o Model Context Protocol (MCP) que combina análise semântica de metadados com verificação de evidência em tempo de execução, evitando o problema comum de scanners que classificam qualquer string parecida com credencial como vazamento real. Testado contra 1.880 casos e em ambiente real com 326 servidores MCP, o sistema reportou 523 achados com F1 acima de 0,87 nas categorias de injeção de comando e acesso a sistema de arquivos.
O trabalho avalia agentes de IA de segurança sob uma lente de custo, comparando desempenho ofensivo (desafios Cybench) e defensivo (investigações Splunk BOTS v1) em níveis fixos de orçamento de inferência, em vez de apenas o melhor resultado possível com gasto ilimitado. A conclusão central é que capacidade ofensiva melhora consistentemente com mais computação — permitindo que modelos open-weight bem escalados cheguem perto de sistemas proprietários de ponta — enquanto o desempenho defensivo em SOC depende mais de uso disciplinado de ferramentas e navegação de telemetria do que de força bruta de raciocínio.
A Microsoft publicou um guia técnico descrevendo como agentes de IA autônomos tendem a acumular privilégios além do necessário e como a integração entre múltiplas ferramentas cria combinações de acesso que nenhum sistema avalia isoladamente. O documento propõe um modelo de identidade dedicada por agente, RBAC granular por tarefa, concessão de privilégios just-in-time e auditoria fim a fim como resposta a esses riscos.
A OpenAI divulgou o GPT-Red, um modelo interno treinado especificamente para atacar outros modelos com prompt injection em larga escala, usado para gerar dados de treinamento adversarial antes do lançamento do GPT-5.6 Sol. Segundo a empresa, a integração do GPT-Red ao pipeline de treinamento reduziu drasticamente a taxa de sucesso de ataques de injeção direta e de fake chain-of-thought em relação a modelos anteriores.