ROPE: controle de origem para barrar injeção indireta de prompt em agentes de IA
Pesquisadores propõem ROPE, um mecanismo que só permite que um valor chegue a uma ferramenta sensível de um agente LLM se sua origem for rastreável de forma inforjável até o usuário, uma fonte por ele nomeada ou seus próprios registros. Em testes com quatro modelos de agente, a técnica reduziu a taxa de sucesso de ataques de injeção indireta de prompt para 1,6-2,6%, contra 0% em ataques de longo horizonte que hoje derrotam defesas de nível de sistema, preservando 82-100% da utilidade do agente sem proteção.
Injeção indireta de prompt (IPI) é hoje um dos vetores mais discutidos contra agentes de IA que usam ferramentas: um conteúdo externo (um e-mail, uma página web, um documento) carrega instruções escondidas que o agente lê e obedece como se viessem do usuário legítimo, levando-o a executar ações danosas. As defesas de nível de sistema mais fortes até aqui — como bloqueio condicional de ferramentas por tarefa ou controle de fluxo de informação — tendem a esbarrar num dilema: quanto mais rígidas, mais perda de utilidade, porque cada vez mais sequências de chamadas de ferramenta e valores de parâmetro só são decididos em tempo de execução, sem como triá-los de antemão apenas a partir da consulta do usuário.
O ROPE (Routed Origin Policy Enforcement) ataca o problema por outro ângulo: em vez de tentar classificar conteúdo como malicioso ou benigno, ele rastreia a proveniência estrutural de cada valor que percorre a trajetória do agente. Um parâmetro só pode alcançar um estado que altera o sistema (uma chamada de ferramenta sensível) se for possível provar, de forma que um invasor não consiga forjar, que ele se origina do usuário, de uma fonte explicitamente indicada por ele, ou de registros autoritativos que pertencem ao próprio usuário. A checagem é determinística sobre um conjunto auditado de parâmetros sensíveis, e o único ponto em que um modelo de linguagem participa da decisão é ao processar a requisição confiável do usuário — território fora do alcance do atacante.
Os autores reivindicam duas garantias formais: nenhum valor cuja única origem seja conteúdo gravável por atacante alcança um parâmetro protegido por origem, e nenhuma reformulação de uma injeção muda o resultado da decisão de admissão. Isso é relevante porque a maioria das defesas baseadas em classificação de conteúdo (heurísticas, LLM-juiz) é vulnerável a reformulações adversariais do próprio ataque; uma checagem estrutural de proveniência, em tese, não é.
Na prática, o resultado mais notável é que ataques de longo horizonte — que hoje conseguem contornar defesas de sistema state-of-the-art justamente por se espalharem em múltiplos passos e evitarem padrões óbvios — foram reduzidos a 0% de sucesso nos experimentos, com perda de utilidade comparativamente pequena. Isso indica um caminho de defesa que não depende de prever cada variante de ataque, mas de restringir estruturalmente onde dados não confiáveis podem influenciar ações. O código e os logs foram publicados, o que permite replicação independente — importante dado que resultados de defesa contra prompt injection historicamente não generalizam bem para ecossistemas de ferramentas do mundo real além do benchmark avaliado.