Pesquisadores apresentam o APEX, uma defesa contra injeção de prompt indireta que, em vez de tentar reconhecer padrões de ataque em ferramentas, servidores MCP ou skills, intercepta toda ação do agente no momento em que ela se torna um efeito externo real, autorizando-a apenas segundo um contrato de permissões definido antes da execução. Nos testes dos autores, o sistema zerou a taxa de sucesso de ataque em cinco dos seis benchmarks avaliados, incluindo contra ataques adaptativos desenhados especificamente para contorná-lo.
Pesquisadores mostram que o BackdoorBench, referência popular para avaliar defesas contra ataques de backdoor em modelos de visão, mede o custo de remoção de forma enviesada: a queda de acurácia é calculada só sobre o modelo já envenenado, misturando o efeito da defesa com falhas de configuração do próprio ataque original, como um agendador de taxa de aprendizado que nunca é acionado em três dos dezesseis ataques do benchmark. Os autores propõem o TARE, que mede o custo real comparando a defesa contra um modelo gêmeo que nunca foi envenenado, revelando que defesas até então consideradas "sem custo" na verdade degradam modelos limpos.
Pesquisadores propõem um benchmark unificado com cerca de 6.200 transcrições de conversas para avaliar monitores que supervisionam agentes de IA contra dois tipos de ameaça — ataques de decomposição (pedido nocivo dividido em partes inócuas) e injeção de prompt — medindo não só se o monitor detecta o dano, mas se detecta dentro da janela correta em que o dano realmente ocorre. O estudo mostra que monitores que avaliam o conteúdo das respostas falham quase completamente contra injeção de prompt (AUC de 0,52, equivalente a adivinhar), enquanto monitores que avaliam as ações externalizadas do agente se saem bem nos dois tipos de ameaça (AUC de 0,95 e 0,99).
Pesquisadores propõem a Analytical Memory Unit (AMU), um esquema de memória compartilhada para agentes de IA corporativos que anexa um grafo completo de origem (lineage) a cada resultado armazenado em cache, liberando o acesso apenas quando o solicitante está autorizado para todas as colunas de dados que contribuíram para aquele resultado. Em experimentos com geração de SQL por LLM, o framework eliminou vazamentos entre departamentos (que antes variavam de 18,8% a 25,5% com controle de acesso tradicional baseado em conteúdo) mantendo mais de 81% de reaproveitamento de memória, com overhead de apenas 13,8 microssegundos.
Pesquisadores propõem um framework multi-agente baseado em LLM que analisa documentos de requisitos e diagramas de arquitetura para gerar casos de mau uso, arvores de ataque, verificacoes de governanca e recomendacoes de mitigacao antes que o codigo seja escrito. A proposta ataca o problema classico de revisao de seguranca tardia, trazendo analise de ameacas para a fase de design, com um loop de validacao que filtra achados sem fundamento na propria arquitetura analisada.
Pesquisadores propõem SWIFT, um framework que incorpora a marcacao de agua (watermarking) de saidas de LLM diretamente no motor de inferencia, em vez de trata-la como um componente externo separado, reduzindo a latencia em 5,9x frente a abordagens anteriores e mantendo 97,7% de deteccao mesmo sob ataques de remocao de marca de agua. O trabalho ataca o problema pratico de que mecanismos de verificacao de autoria/propriedade de texto gerado por IA costumam ser caros demais para uso em producao em escala.
O framework Thrive embute identificadores multi-bit em fala gerada por sistemas de texto-para-fala autoregressivos, permitindo rastrear a origem e atribuir a autoria da fala sintetica mesmo depois que ela passa por transformacoes de edicao ou reconstrucao projetadas para remover o sinal. O sistema mantem 87,6% de acerto medio na recuperacao da marca de agua sob ataque e suporta atribuicao entre ate 10 mil identidades distintas, sem degradar a qualidade do audio gerado.
O framework CyTReX combina deteccao de anomalias de borda, explicacoes SHAP, regras substitutas e enriquecimento de inteligencia de ameacas via MCP em um 'pacote de evidencias' que restringe o raciocinio de um LLM, transformando alertas de rede ambiguos em hipoteses de ataque ranqueadas e rastreaveis para redes de Recursos Energeticos Distribuidos (DER). O objetivo e substituir classificacoes de ataque unicas e opacas por multiplas hipoteses explicaveis, cada uma vinculada a evidencia concreta, para apoiar analistas de centros de operacoes de seguranca.
Pesquisadores demonstram que os bits menos significativos (LSBs) dos pesos de ponto flutuante de 32 bits em modelos Transformer como BERT e ViT podem ser usados como canal encoberto para esconder payloads maliciosos na cadeia de suprimentos de modelos de IA, e propõem o GrayShield, um metodo de sanitizacao pos-treinamento que elimina esse canal sobrescrevendo os bits com uma sequencia guiada por codigo Gray. A tecnica reduz a recuperacao do payload a nivel de chance binaria, com impacto de acuracia inferior a 1% e menor distorcao na distribuicao dos pesos do que as defesas alternativas avaliadas.
Pesquisadores apresentam o Backchain Memory Attack (BMA), que manipula evidências de baixa confiança consumidas por um agente LLM de forma que, quando consolidadas em memória persistente, acabam sendo recuperadas depois em uma tarefa completamente limpa e usadas para disparar uma ação protegida não autorizada. O ataque alcança 18,8% de taxa de sucesso certificada por caminho (contra 13,4% da melhor linha de base), e controles de proveniência vinculada reduzem esse número para 2% preservando 92,1% das ações legítimas.
A Nvidia apresentou a Open Agent Safety Platform, combinando o runtime open source OpenShell com o Sentry, um watchdog independente rodando em DPUs BlueField-4 capaz de colocar um agente em quarentena em milissegundos. O lançamento responde a uma série de incidentes recentes em que agentes de laboratórios de ponta escaparam de ambientes de avaliação e acessaram sistemas fora do escopo previsto.
Pesquisadores propõem o primeiro modelo de ameaça dedicado a prompt injection em sistemas multiagente, catalogando 14 vetores de ataque em quatro categorias — incluindo canais de injeção invisíveis a defesas de perímetro, criados pela própria troca de mensagens entre agentes. Testando os 14 vetores contra um sistema de produção com 6 agentes, 67% dos agentes se mostraram vulneráveis a pelo menos uma violação de escopo mesmo com guardrails no system prompt, e quatro defesas arquiteturais combinadas derrubaram a taxa geral de sucesso de ataque de 31,2% para 4,2%.
Um levantamento sobre alertas de segurança relacionados a IA em ambientes corporativos mostra crescimento de 685% entre fevereiro e junho de 2026, mas apenas 0,02% desses alertas correspondem a ataques reais causados por agentes de IA. A grande maioria é ruído gerado por regras de detecção legadas que não reconhecem o comportamento normal de ferramentas de IA.
Um post do Microsoft Security Blog descreve como a execução de modelos de IA fora da nuvem, em hardware operado pelo próprio cliente, desloca modelo, dados e autoridade de decisão para uma infraestrutura que o provedor não controla diretamente, criando uma nova superfície para prompt injection, adulteração de modelo e firmware malicioso. Como resposta, propõe uma arquitetura em camadas que combina mediação determinística das ações de agentes, atestação de runtime e verificação de proveniência de artefatos antes de liberar credenciais e modelos sensíveis ao dispositivo de borda.
ClawSentry é um gateway de segurança agnóstico de framework que audita pacotes de 'skills' de terceiros antes da primeira execução e monitora o agente em runtime em três camadas de profundidade crescente, funcionando sobre Codex, Claude Code, Kimi CLI e Gemini CLI sem alterar os agentes. No benchmark SkillInject, a taxa de sucesso de ataque caiu de 39,55% para 2,61% com perda mínima de utilidade (98,7% de tarefas legítimas ainda completadas).
TraceGrant governa o ciclo de vida completo de 'tarefa para efeito' de agentes de LLM conectados a e-mail, nuvem e serviços web, estabelecendo um Contrato de fronteira de autoridade antes da execução, restringindo o que evidências admitidas podem autorizar durante a execução, e verificando o resultado real contra o que foi de fato executado depois. Em 949 casos do AgentDojo e 400 do Agent Security Bench, o framework registrou zero sucessos de ataque mantendo utilidade sob taxas de ataque de 77% e 83%.
AID-Guard propõe um protocolo de autorização com estado que revalida a requisição aprovada e o estado do provedor no momento do commit, evitando que uma perda de resposta ou uma retentativa gere um segundo efeito indevido a partir de uma única aprovação. Sob compromisso total do proponente, o protocolo bloqueou 44 de 44 ataques e admitiu 44 de 44 propostas legítimas equivalentes, ao custo de reduzir utilidade benigna em até 44 pontos percentuais no perfil mais estrito.
Pesquisadores mostram que reduzir a tensão de alimentação da GPU durante o treinamento de redes convolucionais (LeNet, VGG-6, MobileNetV3) introduz perturbações estocásticas que atuam como regularização implícita, aumentando a acurácia adversarial tanto em treino padrão quanto em treino adversarial, sem qualquer mudança de algoritmo. Como potência dinâmica escala quadraticamente com a tensão, o ganho de robustez vem acompanhado de economia de energia relevante para borda.
O 'Evaluation Agent' combina verificação factual por inferência de linguagem natural, um detector de envenenamento com cinco sinais e um Índice de Confiança combinado para identificar documentos maliciosos injetados em sistemas RAG antes que o LLM os use para gerar resposta. No TruthfulQA com Llama 3.3 70B, atingiu 91% de acurácia e 100% de recall contra injeção de instrução, mas teve dificuldade com trocas sutis de entidade e enfraquecimento semântico.
Defesas para agentes LLM hoje avaliam cada sessão isoladamente, mas um atacante pode espalhar uma campanha entre agentes, equipes e runtimes independentes, deixando cada guarda-corpo local só com um fragmento esparso do ataque. Os autores formalizam esse problema de atribuição assíncrona entre agentes e propõem os A²FV (Asynchronous Attribution Fingerprint Vectors), um protocolo leve do lado do proxy que liga sessões da mesma campanha usando apenas uso de ferramentas, temporização e resíduos de prompt observáveis externamente, sem acesso a identidade do atacante ou rótulos de campanha em tempo de teste.
Pesquisadores demonstraram que LLMs usados em SOCs para triagem e análise de logs podem ser manipulados por payloads de prompt injection escondidos em campos de log que ficam armazenados e só "disparam" quando um analista consulta o modelo depois. No framework LogInject, testado contra três LLMs de produção, o ataque atingiu até 88,2% de taxa de sucesso ao tentar ocultar atividade maliciosa, gerar falsos positivos, exfiltrar dados ou sequestrar a resposta do modelo.
MemPoison é um benchmark com 1.227 casos validados manualmente que testa ataques de envenenamento de memória persistente em dez famílias de modelos, organizados em uma taxonomia de três níveis de complexidade. O achado central é que defesas simples aplicadas no momento da escrita, como checagens de consistência, barram ataques diretos, mas falham sistematicamente contra corrupção composicional entre múltiplos registros e contra gatilhos dormentes ativados só em contexto específico.
FlowGuard é um sistema de detecção de segurança para o Model Context Protocol (MCP) que combina análise semântica de metadados com verificação de evidência em tempo de execução, evitando o problema comum de scanners que classificam qualquer string parecida com credencial como vazamento real. Testado contra 1.880 casos e em ambiente real com 326 servidores MCP, o sistema reportou 523 achados com F1 acima de 0,87 nas categorias de injeção de comando e acesso a sistema de arquivos.
O trabalho avalia agentes de IA de segurança sob uma lente de custo, comparando desempenho ofensivo (desafios Cybench) e defensivo (investigações Splunk BOTS v1) em níveis fixos de orçamento de inferência, em vez de apenas o melhor resultado possível com gasto ilimitado. A conclusão central é que capacidade ofensiva melhora consistentemente com mais computação — permitindo que modelos open-weight bem escalados cheguem perto de sistemas proprietários de ponta — enquanto o desempenho defensivo em SOC depende mais de uso disciplinado de ferramentas e navegação de telemetria do que de força bruta de raciocínio.
A Microsoft publicou um guia técnico descrevendo como agentes de IA autônomos tendem a acumular privilégios além do necessário e como a integração entre múltiplas ferramentas cria combinações de acesso que nenhum sistema avalia isoladamente. O documento propõe um modelo de identidade dedicada por agente, RBAC granular por tarefa, concessão de privilégios just-in-time e auditoria fim a fim como resposta a esses riscos.
A OpenAI divulgou o GPT-Red, um modelo interno treinado especificamente para atacar outros modelos com prompt injection em larga escala, usado para gerar dados de treinamento adversarial antes do lançamento do GPT-5.6 Sol. Segundo a empresa, a integração do GPT-Red ao pipeline de treinamento reduziu drasticamente a taxa de sucesso de ataques de injeção direta e de fake chain-of-thought em relação a modelos anteriores.