Pesquisadores testaram sistematicamente ataques de injeção de prompt contra sistemas de agentes de IA, cobrindo tanto entradas diretas de usuários quanto a comunicação entre agentes como vetor de exploração. O trabalho mostra que falhas que já afetam agentes isolados — vazamento de informação sensível, desvio de instruções — podem se propagar lateralmente quando múltiplos agentes trocam mensagens entre si, contaminando todo o pipeline multiagente a partir de um único ponto de entrada comprometido.
Pesquisadores propõem a Analytical Memory Unit (AMU), um esquema de memória compartilhada para agentes de IA corporativos que anexa um grafo completo de origem (lineage) a cada resultado armazenado em cache, liberando o acesso apenas quando o solicitante está autorizado para todas as colunas de dados que contribuíram para aquele resultado. Em experimentos com geração de SQL por LLM, o framework eliminou vazamentos entre departamentos (que antes variavam de 18,8% a 25,5% com controle de acesso tradicional baseado em conteúdo) mantendo mais de 81% de reaproveitamento de memória, com overhead de apenas 13,8 microssegundos.
O presidente sul-coreano Lee Jae Myung confirmou sinais de que agentes de IA podem ter sido usados em ciberataques contra Shinhan Bank, KB Kookmin Bank, Hana Bank e Woori Bank, resultando em exposição de dados pessoais de clientes. As autoridades compartilharam 28 endereços IP ligados aos ataques, mas ainda não divulgaram qual ferramenta de IA teria sido empregada nem o alcance total da invasão.
O Muse, agente de IA da Meta que roda em uma maquina virtual baseada em KVM supostamente isolada da infraestrutura critica da empresa, apresentava vulnerabilidades de fuga de maquina virtual (VM escape) descobertas semanas antes do lancamento. Pelo menos uma delas poderia permitir que um usuario comum do Muse, agindo como atacante externo, acessasse bancos de dados internos sensiveis da Meta, e a correcao emergencial e descrita internamente como protecao malfeita e apressada.
A Apple anunciou planos para tornar o controle de Full Disk Access (FDA) no macOS mais estrito, exigindo autorizacao explicita e continua em vez da concessao unica e permanente atual, depois que o agente Muse da Meta acessou iMessages privados de um jornalista e o pesquisador Patrick Wardle encontrou falhas tanto no Muse quanto no app ChatGPT para Mac que poderiam expor dados e tokens de autenticacao do usuario. Nenhuma data de lancamento das novas controles foi divulgada.
Pesquisadores apresentam o Whiteout, uma ferramenta prática que impede LLMs de reproduzir informações pessoais sensíveis de indivíduos específicos — datas de nascimento, telefones, endereços — memorizadas a partir de dados de treinamento não filtrados. Em vez de recorrer a unlearning, que tende a remover informação além do necessário e degrada a utilidade do modelo, o Whiteout sobrescreve os dados reais com amostras de ofuscação cuidadosamente desenhadas, mediante solicitação do próprio indivíduo. Os autores testam a ferramenta contra modelos de diferentes tamanhos e fabricantes, incluindo um modelo OpenAI amplamente usado, e contra ataques de caixa-preta (jailbreaking) e caixa-branca (relearning, quantização), reportando impacto mínimo na utilidade geral do modelo.
A empresa de seguranca Glow identificou mais de 13.000 imagens internas de mais de 300 organizacoes -- incluindo registros de faturamento, telas de recursos nao lancados e consoles de tesouraria -- publicadas em repositorios publicos no GitHub. A causa raiz foi uma limitacao tecnica: agentes de codificacao de IA instruidos a compartilhar screenshots de mudancas de codigo nao conseguiam anexar imagens a pull requests via linha de comando, e passaram a criar repositorios publicos sob contas pessoais de desenvolvedores como solucao alternativa, ficando invisiveis para os times de seguranca corporativos.
O trabalho formaliza a diferença entre verificar que uma execução específica vazou um segredo de um modelo de linguagem e certificar que nenhuma execução dentro de um domínio de prompts jamais vazaria — mostrando que a primeira tarefa é fácil, mas a segunda é NP-completa ou pior, dependendo do modelo de decodificação. Experimentos com segredos plantados mostram que uma auditoria por amostragem de 256 prompts, sobre um domínio de 4.096, deixa passar despercebido o vazamento em 41% dos pares testados.
Pesquisadores de Harvard construíram o Priva-See, um sistema baseado em LLM que simula como empresas de adtech poderiam usar IA para inferir características sensíveis de usuários a partir de dados parciais coletados por apps de celular (fotos, mensagens, calendário). Em um estudo com 465 participantes aprovado por comitê de ética, o sistema fez inferências invasivas de privacidade mesmo tendo acesso a apenas um subconjunto dos dados do usuário, o que levou os autores a recomendar mudanças em como os sistemas operacionais móveis pedem consentimento de acesso a dados.
Um novo benchmark chamado PriMobiBench mede o quanto agentes de GUI móvel baseados em modelos de visão e linguagem (VLMs) vazam informação privada ao interpretar screenshots de tela para automatizar tarefas em smartphones. Usando um dataset de 2.960 instâncias de privacidade embutidas em execuções reais de 16 apps, os autores mostram que VLMs conseguem extrair diretamente dados sensíveis com até 82,5% de sucesso e ainda inferir perfis de usuário a partir de evidência visual agregada com cerca de 70% de sucesso.
Pesquisadores demonstraram três ataques — Collaborative Workspace Lure, Semantic Obfuscation Attack e Channel Decoupling Attack — que extraem dados privados de agentes pessoais de IA sem depender de injeção de prompt clássica, contornando defesas baseadas em prompts de sistema, treinamento e checagem de consentimento. Em resposta, os mesmos autores propõem o FLOWSEAL, um mecanismo de controle de fluxo de informação aplicado fora do contexto do LLM, que reduz a taxa de vazamento contra o ataque mais eficaz de 52,2% para 0,5% sem prejudicar a utilidade do agente.
Pesquisadores formalizam e demonstram 'ataques de inferencia de contexto': tecnicas que revelam o conteudo de dados sensiveis carregados silenciosamente no contexto de um agente de IA (por exemplo, registros medicos ou financeiros buscados por chamadas de ferramentas), sem precisar induzir o modelo a divulgar o conteudo diretamente. Uma unica estrategia de ataque atinge ate 100% de sucesso em conjuntos pequenos de candidatos e mantem alta eficacia mesmo quando o atacante nao conhece o template do contexto ou so tem acesso via um modelo substituto.
Pesquisadores apontam que protocolos de coordenacao entre agentes como MCP e A2A publicam a descricao completa e os esquemas de cada 'skill' para todos os pares na rede, expondo logica de negocio e prompts proprietarios mesmo quando a implementacao roda do lado do servidor. O Skill-as-API propoe limitar o que trafega na rede a nome, descricao, esquema de entrada/saida e nivel de confianca, mantendo o corpo da skill e o prompt do sistema inteiramente dentro do processo do dono, o que tambem reduz estruturalmente a superficie de prompt injection.
Pesquisadores demonstram um ataque onde conteúdo aparentemente relacionado à tarefa engana modelos DeepSeek e Claude a incluírem atributos protegidos (dados pessoais, credenciais) como argumentos de chamadas de ferramenta 'legítimas', mesmo com políticas de privacidade no prompt. Em benchmark controlado com 120 chamadas, a taxa de vazamento variou de 20,8% a 75% conforme o modelo, mostrando que políticas de privacidade em texto de prompt não bloqueiam o problema de forma confiável.
Pesquisadores demonstraram que a simples presença de dados sensíveis (como números de cartão ou de seguridade social) no contexto de um LLM introduz correlações ocultas em respostas completamente benignas do modelo, permitindo reconstruir esses dados mesmo quando o modelo se recusa corretamente a repassá-los se pedido diretamente. Em oito modelos proprietários testados, segredos de 2 dígitos foram reconstruídos com precisão quase perfeita e segredos de 4 dígitos com 82% de acerto exato, e um adversário treinado com RL conseguiu extrair números completos de seguridade social de um agente em estilo de produção.
O artigo cunha o termo "shady AI" para descrever um problema de governança diferente do shadow AI clássico: não é uma ferramenta não autorizada, é uma ferramenta aprovada usada de forma inesperada. O caso ilustrativo é um incidente Sev1 na Meta em março de 2026, em que um agente de IA aprovado publicou internamente, sem autorização, a resposta a uma pergunta técnica que deveria ter ficado privada, expondo dados sensíveis a funcionários não autorizados por mais de duas horas.
Um pesquisador propõe aplicar uma regra de autorização de audiência diretamente no momento em que a memória de um agente de IA pessoal é convertida em contexto de prompt, impedindo que um fato aprendido em uma conversa vaze para um público não autorizado em outra conversa. A defesa funciona por exclusão determinística, não por confiar que o modelo se recuse a repetir a informação, e em testes sintéticos nenhum fato proibido chegou a entrar no contexto montado.
A pesquisa KeyPooling demonstra que gateways de relay de API de LLM, usados para agregar acesso a provedores como OpenAI e Anthropic sob credenciais compartilhadas, vazam o cache de prompt entre clientes diferentes por padrão em todos os cinco gateways de código aberto testados. Em produção, os autores conseguiram recuperar oito posições consecutivas de tokens de um cliente-alvo sem qualquer acesso direto a ele, e mediram vazamento de cache entre contas em rotas responsáveis por um terço do volume de tokens do OpenRouter analisado.
Pesquisadores demonstraram que os blocos de raciocínio oculto usados pelas APIs de reasoning da OpenAI, Anthropic e Google podiam ser reaproveitados entre sessões, usuários e até modelos diferentes, e que um modelo menor bastava para transcrever o conteúdo de um modelo maior. A técnica recuperou centenas de segredos reais — chaves de API, senhas e tokens — que apareciam apenas no raciocínio oculto, nunca no texto visível, tornando a sanitização de logs tradicional insuficiente.
Pesquisadores identificaram mais de meia dúzia de serviços clandestinos revendendo acesso a modelos de IA de grandes provedores, entre eles o 'Poison Claude', que oferece Opus e Sonnet a 5-15% do preço oficial. Como o serviço funciona como proxy/gateway, o operador tem visibilidade completa sobre cada prompt enviado pelos clientes, criando um risco de exfiltração de dados sensíveis para quem usa esse acesso pirateado.
O GradLock é um ataque de injeção em tempo de treinamento que embute dados sensíveis do conjunto de treino diretamente nos parâmetros de um modelo, a partir de um componente de código aberto comprometido na cadeia de suprimentos de IA. A técnica usa indexação determinística sem estado para criar "cofres" de dados isolados dentro do modelo e um mecanismo de trava de gradiente que impede o payload de se degradar durante o treinamento, permitindo recuperação quase perfeita (SSIM próximo de 1,0) em menos de um segundo, mesmo depois de quantização, poda ou fine-tuning. Em um estudo com usuários, 93,3% dos participantes não perceberam a lógica maliciosa embutida no código.
Sistemas agenticos que combinam planejamento por LLM com acesso a ferramentas externas sofrem de falhas na fronteira entre instrução e dado, o que abre espaço para vazamento de dados e uso indevido de ferramentas via prompt injection. Os autores propõem um pipeline de pré-implantação que varre templates de prompt, interfaces de ferramenta e código de invocação em busca de padrões de risco, aplica correções pouco invasivas e valida o resultado com ataques adversariais automatizados. Em cinco aplicações reais e no benchmark AgentDojo, o pipeline eliminou vazamentos sob jailbreaks básicos e reduziu em 91% os vazamentos sob manipulação mais agressiva, sem exigir enforcement de política em tempo de execução.
SlotGuard é uma proposta para impedir que agentes de LLM vazem caminhos de arquivo, e-mails e credenciais capturados de saídas de ferramentas, logs de shell e leituras de arquivo que acabam anexadas ao transcript enviado ao provedor do modelo. Em vez de redação por placeholder — que os autores mostram ser frágil, perdendo referências entre turnos e destruindo estrutura útil ao raciocínio —, o sistema reescreve vínculos estruturais em "slots" tipados e substitui segredos por valores sintéticos que preservam o formato original.