ReMAS usa aprendizado por reforço para extrair prompts de sistema de sub-agentes em sistemas multi-agente

O trabalho, de Yuqi Jia e coautores, parte de uma lacuna metodológica: a maior parte da pesquisa de red-teaming de LLMs via caixa-preta foi desenhada para atacar um único agente conversacional exposto diretamente ao usuário, mas sistemas multi-agente (MAS) distribuem tarefas entre vários sub-agentes especializados, muitos dos quais nunca recebem entrada direta do usuário — eles só respondem a mensagens roteadas por um agente orquestrador. Os autores mostram empiricamente que ataques de extração de prompt que funcionam bem contra um agente único perdem efetividade nesse cenário, exatamente porque não conseguem alcançar os sub-agentes que não estão na linha de frente da interação.

Tecnicamente, o ReMAS opera em duas etapas treinadas com aprendizado por reforço: primeiro, uma etapa de reescrita refina prompts de ataque básicos para aumentar a chance de extração bem-sucedida; depois, uma etapa de geração de templates constrói estruturas de ataque desenhadas especificamente para aumentar a probabilidade de que a mensagem do usuário seja roteada até um sub-agente específico, revelando o prompt de sistema daquele sub-agente em particular. Esse desenho reconhece que, em um MAS, o desafio não é só “qual pergunta fazer”, mas também “como garantir que a pergunta chegue ao componente interno certo” — um problema de roteamento que não existe em ataques contra um único agente monolítico.

Os autores reportam que o método melhora substancialmente a taxa de sucesso de ataque em comparação com abordagens de caixa-preta existentes, e que essa melhora se transfere entre diferentes modelos usados como backend e diferentes arquiteturas de orquestração multi-agente — um sinal de que a vulnerabilidade exposta não é peculiar a uma implementação específica, mas sim a um padrão estrutural de como sistemas multi-agente são montados hoje, com sub-agentes que operam sob a suposição implícita de que estão protegidos pela camada de orquestração.

Na prática, a extração do prompt de sistema de um sub-agente tem valor direto para um atacante: revela a lógica de negócio, as instruções de segurança e as restrições operacionais daquele componente específico, informação que pode ser reaproveitada para desenhar ataques subsequentes mais precisos, como jailbreaks direcionados ou tentativas de contornar validações daquele sub-agente em particular. Com a adoção crescente de arquiteturas multi-agente em produtos comerciais — orquestrando sub-agentes para tarefas como busca, execução de código ou acesso a ferramentas externas — esse resultado sugere que times de segurança não podem assumir que a exposição de um sistema multi-agente a ataques de extração é proporcional apenas à superfície do agente orquestrador visível ao usuário.