MPIDetector usa raciocínio de LLM para detectar injeção de prompt multimodal com até 99,8% de acerto
Pesquisadores propõem o MPIDetector, que usa o próprio raciocínio em contexto (in-context learning) de LLMs para identificar instruções maliciosas escondidas em texto ou imagens, em vez de depender de assinaturas ou perplexidade. O método atinge até 90,91% de acurácia em texto, 99,28% em imagens e 99,8% de detecção contra 500 injeções altamente ofuscadas em agentes web.
Prompt injection multimodal é a técnica de esconder instruções maliciosas não apenas em texto, mas também embutidas em imagens, para contornar o alinhamento de segurança de modelos multimodais (MLLMs) que processam os dois tipos de entrada simultaneamente. Abordagens anteriores de detecção, baseadas em assinaturas conhecidas ou em medir a perplexidade do texto, funcionam mal contra payloads sofisticados e cross-modais porque dependem de padrões superficiais, não da intenção semântica do conteúdo.
O MPIDetector ataca o problema de um jeito diferente: em vez de treinar um classificador dedicado, ele fornece a um LLM já existente (como Gemini, Qwen3-VL ou Doubao) templates de prompt e exemplos representativos de ataques via few-shot in-context learning, pedindo que o próprio modelo julgue a intenção semântica da entrada recebida, atravessando texto e imagem. Essencialmente, usa a capacidade de raciocínio do LLM-alvo (ou de um LLM auxiliar) como mecanismo de defesa contra ataques que, originalmente, exploram esse mesmo raciocínio.
O dado mais significativo é o teste contra 500 injeções do tipo WebInject altamente ofuscadas, simulando agentes web que navegam páginas potencialmente maliciosas — um cenário realista de agente autônomo que processa conteúdo não confiável da internet. A taxa de detecção de até 99,8% nesse cenário é relevante porque agentes web são justamente o tipo de sistema em que prompt injection tem maior impacto prático: o agente tem permissão para agir (clicar, preencher formulários, navegar), então uma injeção bem-sucedida se traduz diretamente em ação indesejada, não apenas em texto incorreto.
A limitação a observar é que usar LLMs para detectar ataques contra LLMs introduz uma dependência circular: o detector também pode ser alvo de técnicas adversariais desenhadas especificamente para enganar seu raciocínio, algo que o estudo testa com datasets próprios, mas que ataques futuros, não cobertos pelo benchmark atual, poderiam explorar. Ainda assim, a abordagem representa um avanço prático sobre perplexidade e assinaturas estáticas, hoje amplamente usadas e mais fáceis de contornar.