GRAD usa grafo de execucao e 'anticorpos' continuos para detectar ataques distribuidos em memoria de agentes de LLM
Defesas atuais contra envenenamento de memoria e ataques de decomposicao em agentes de LLM falham porque avaliam cada requisicao isoladamente, sem conectar evidencia espalhada ao longo do tempo. O GRAD agrega evidencia em um grafo de execucao e usa um conjunto extensivel de 'especialistas de deteccao' que se adaptam a novos contextos sem esquecer capacidades aprendidas antes, alcançando AUROC de ate 97,19% contra ataques de decomposicao.
Ataques de envenenamento de memoria e de decomposicao contra agentes de LLM funcionam justamente porque distribuem a evidencia maliciosa ao longo de varias operacoes -- uma unica requisicao parece inofensiva isoladamente, e so a combinacao de varias operacoes ao longo do tempo revela a intencao maliciosa. Defesas de nivel de requisicao, que avaliam cada entrada isoladamente, tem um ponto cego estrutural para esse padrao de ataque, alem de enfrentarem outro problema: atualizar os parametros compartilhados do detector para lidar com novos tipos de contexto tende a degradar a capacidade de detectar ataques ja conhecidos (esquecimento catastrofico).
O GRAD ataca os dois problemas com dois componentes. O primeiro, o 'Modulo de Entendimento Semantico-Estrutural' (SSUM), constroi um grafo de execucao que codifica conjuntamente o texto de cada operacao, atributos do evento e relacoes tipadas candidatas entre operacoes, agregando evidencia distribuida em um escore de risco no nivel do grafo inteiro -- nao apenas da ultima acao. O segundo, 'Adaptacao Continua de Anticorpos' (CAA), adiciona novos 'especialistas' de deteccao sobre snapshots congelados do codificador base e roteia cada entrada para o especialista certo com base em assinaturas observaveis do grafo, em vez de re-treinar os parametros compartilhados -- o que evita que aprender a detectar um ataque novo apague a capacidade de detectar ataques antigos.
Os resultados mostram AUROC de 97,19% contra ataques de decomposicao (Decomp), 77,59% contra ataques via MCP e 86,60% contra MRT, superando tanto um monitor sequencial simples quanto defesas adaptadas localmente (Agent-Sentry e NeuroTaint). O ganho de 13,08 pontos percentuais de acuracia final sobre a estrategia de replay em um fluxo de tarefas entre datasets diferentes e o numero que melhor ilustra o valor pratico da abordagem continua: o detector melhora com a exposicao a novos ataques sem regredir nos antigos. Os autores tambem destacam que o 'gate' compacto de deteccao roda inferencia local em milissegundos, sem depender de chamadas a APIs externas de monitoramento.
Isso e relevante para qualquer operador de agentes de LLM com memoria persistente (assistentes corporativos, agentes com RAG de longo prazo, agentes com ferramentas MCP) que hoje dependem de filtros de conteudo por requisicao: o GRAD e evidencia de que a proxima geracao de defesas precisa necessariamente olhar para o historico de operacoes como um grafo, nao como uma sequencia de eventos independentes, e que mecanismos de adaptacao continua sao essenciais a medida que novos padroes de ataque aparecem em producao.