Ataque TSA engana agentes de IA com descrições de ferramentas falsificadas e indistinguíveis das legítimas
Pesquisadores apresentam o TSA (Tool Spoofing Attack), uma técnica que usa um LLM para otimizar iterativamente descrições de ferramentas maliciosas até que fiquem praticamente idênticas, em estilo e conteúdo, às de ferramentas legítimas que os agentes de IA já confiam. O ataque atinge até 92% de taxa de sucesso e continua eficaz mesmo contra detectores de malware voltados a ferramentas e contra avaliadores humanos.
Agentes de LLM modernos decidem qual ferramenta usar a partir da descrição textual que acompanha cada função disponível — um campo de metadados que, em muitos frameworks, é tratado como confiável por padrão. O TSA ataca exatamente esse ponto cego: em vez de inserir palavras-chave suspeitas ou seguir regras fixas (o que caracterizava ataques anteriores e os tornava fáceis de detectar), os autores usam um processo de otimização guiado por outro LLM para reescrever iterativamente a descrição de uma ferramenta maliciosa a partir de uma variante de descrição benigna.
O mecanismo central é um laço de feedback: a cada iteração, a descrição candidata é testada contra um agente LLM substituto, e uma técnica de aprendizado contrastivo em contexto ajusta o texto na direção que aumenta a chance de a ferramenta maliciosa ser escolhida, mantendo ao mesmo tempo a aparência estilística de uma ferramenta legítima. O resultado é uma descrição que não contém gatilhos sintáticos óbvios nem palavras de alerta — ela é indistinguível das descrições de ferramentas benignas tanto para classificadores automáticos quanto, segundo o estudo com usuários humanos, para revisores humanos.
Os números reportados são expressivos: até 92,13% de taxa de sucesso de ataque, superando quatro técnicas anteriores de manipulação de contexto de ferramentas, e robustez mantida contra cinco detectores de ferramentas maliciosas diferentes. Isso indica que defesas baseadas em análise estática do texto da descrição — a abordagem mais comum hoje — têm um teto de eficácia baixo contra um adversário que otimiza ativamente contra elas.
O impacto prático recai sobre qualquer ecossistema de agentes que descubra e selecione ferramentas dinamicamente, como marketplaces de plugins, registros de skills para agentes (MCP, ClawHub e afins) ou sistemas multiagente que compartilham catálogos de função. Se a seleção de ferramenta depende apenas da descrição declarada pelo próprio autor da ferramenta, um atacante que consiga publicar ou injetar uma entrada no catálogo tem um caminho de alta probabilidade para fazer o agente invocar código malicioso em vez da ferramenta pretendida — sem precisar comprometer o prompt do usuário ou o próprio modelo.