Esteganografia em imagens permite injeção de prompt indireta em sistemas multi-agente via MCP

O ataque explora uma lacuna estrutural nos sistemas agênticos baseados em MCP: filtros de segurança tipicamente escaneiam texto em busca de instruções maliciosas, mas não têm visibilidade sobre o que está codificado dentro de pixels de uma imagem. Os pesquisadores escondem instruções em uma imagem de assinatura de e-mail usando esteganografia — ocultando dados nos bits menos significativos (LSB), em coeficientes de transformada discreta de cosseno (DCT, a mesma técnica usada em compressão JPEG) ou em metadados do arquivo. Esse conteúdo passa por qualquer scanner de texto sem levantar suspeita, pois, textualmente, a imagem não contém nada de anômalo. O problema surge quando uma ferramenta dentro do fluxo de trabalho multi-agente decodifica a imagem — por exemplo, para fazer OCR ou extração de metadados — e o conteúdo esteganografado se materializa como texto dentro do contexto de um agente, que então o interpreta como instrução legítima. Os autores chamam isso de "lavagem de confiança" entre modalidades: a imagem, tratada como confiável por ser um anexo originado de uma fonte aparentemente benigna, empresta sua confiança a instruções que na verdade vieram de um atacante.

A defesa proposta, "decode-time provenance binding", ataca o problema no momento exato em que o conteúdo é decodificado, antes que ele se misture com o restante do contexto do agente. Três peças trabalham juntas: rótulos de confiança autenticados por HMAC marcam, de forma que não pode ser falsificada por um agente comprometido, que aquele trecho específico de texto se originou de uma decodificação e é portanto não confiável por padrão; um "ledger" de proveniência mantido pelo próprio MCP registra a linhagem completa dos dados através de múltiplas fronteiras de agentes, mesmo em cadeias longas de delegação; e um rastreamento de "taint" de contexto acompanha como esse dado não confiável se propaga pelo pipeline, bloqueando qualquer chamada de ferramenta crítica (como enviar um e-mail, fazer uma transação ou executar código) que tenha sido influenciada, direta ou indiretamente, por conteúdo ainda marcado como não confiável.

Os números do estudo, obtidos num testbed MCP real com três portadores esteganográficos distintos e 24 payloads adaptativos, são contundentes: o pipeline sem qualquer defesa cedeu a 100% dos ataques testados. Defesas convencionais baseadas em palavras-chave ou expressões regulares — a abordagem mais comum hoje em filtros de segurança para agentes — bloquearam apenas 62,5% dos ataques, deixando mais de um terço passar. O mecanismo de provenance binding, por outro lado, bloqueou 100% dos ataques, incluindo tentativas em que um agente comprometido tentava forjar e substituir um rótulo de confiança válido para disfarçar conteúdo malicioso como confiável. Um mecanismo auditado de "promoção de confiança", que permite que conteúdo inicialmente marcado como não confiável seja elevado a confiável após validação explícita, elevou a taxa de conclusão de tarefas legítimas de 67% para 100%, mostrando que a defesa não precisa sacrificar utilidade para ser eficaz.

O caso importa porque mostra que a superfície de ataque de injeção de prompt indireta em sistemas agênticos vai muito além de texto simples escondido em páginas web ou documentos — qualquer modalidade que passe por um passo de decodificação dentro do pipeline (imagem, áudio, vídeo, binários) é um vetor potencial, e defesas baseadas em análise textual superficial, como keyword matching, são insuficientes por design porque o conteúdo malicioso simplesmente não existe como texto até o momento da decodificação. À medida que agentes multimodais e protocolos como o MCP se tornam padrão em ambientes corporativos, mecanismos de rastreamento de proveniência e taint em nível de protocolo — e não apenas filtros de conteúdo na borda — parecem ser a direção necessária para conter essa classe de ataque.