CLIC corta em dois terços o sucesso de ataques de prompt injection contra controle de redes O-RAN por LLM
Operadoras de telecom começam a usar LLMs para traduzir intenções de usuários em decisões de controle de rede em O-RAN (Open Radio Access Network), abrindo uma superfície de ataque nova: injeção de prompt em tempo de execução, que manipula decisões sem violar a autenticação da interface, e injeção de prompt virtual residual, plantada durante o fine-tuning do modelo. O framework CLIC, testado na plataforma OAIC, reduziu a taxa de sucesso desses ataques de 0,92 para 0,29, e dos ataques residuais de 0,37 para 0,04, a um custo de cerca de 27 ms de latência extra.
O O-RAN permite que operadoras configurem slicing e gestão de recursos de rede a partir de intenções de alto nível, processadas por um LLM dentro do RAN Intelligent Controller (RIC). Isso introduz um novo elo fraco em infraestrutura de telecomunicações crítica: em vez de atacar a autenticação da interface A1/E2, um adversário pode manipular a camada de linguagem natural que traduz intenção em ação de controle.
Os autores descrevem duas ameaças distintas que exigem defesas diferentes. A injeção de prompt em tempo de execução manipula a decisão de controle no momento em que ela é tomada, sem violar nenhuma autenticação formal da interface — um ataque que, em tese, poderia ser interceptado em tempo real. Já a injeção de prompt virtual (VPI) residual planta um mecanismo de gatilho durante o fine-tuning do modelo, de forma que o comportamento malicioso só se manifeste depois, silenciosamente, quando o modelo já está em produção — um ataque que exige auditoria de integridade do modelo antes mesmo do deployment, não apenas filtros de runtime.
O CLIC (Closed-Loop Intent Consistency) ataca os dois problemas com uma camada dupla: um modelo de linguagem pequeno e quantizado calcula um “score de consistência” formal entre a intenção certificada (A1) e a ação final de controle (E2), rodando como um rApp non-real-time para certificação de integridade do modelo e como um xApp near-real-time para enforcement contínuo durante a execução.
O número de baseline reportado — 0,92 de taxa de sucesso de ataque sem nenhuma defesa — é o dado mais alarmante do trabalho: sem mitigação, quase todo ataque de prompt injection testado contra esse tipo de controlador teria sucesso em uma infraestrutura que sustenta rede de telecomunicações real. A redução para 0,29 (e para 0,04 nos ataques residuais plantados via fine-tuning) é uma melhora significativa, mas ainda deixa quase três em cada dez ataques de runtime passando, o que reforça que proteger LLMs em infraestrutura crítica exige controles em múltiplas camadas do ciclo de vida do modelo, e não apenas um filtro de prompt na entrada.