SPILLWAY separa admissão de alvo e sanitização para blindar agentes de IA contra prompt injection

O problema que o artigo ataca é bem conhecido por quem opera agentes de IA com acesso a e-mail, arquivos ou pagamentos: uma instrução maliciosa escondida numa página web ou num documento compartilhado pode fazer o agente enviar dados ou dinheiro para o destino escolhido pelo atacante. A maioria das defesas atuais ou coloca um modelo de linguagem na própria decisão de bloquear ou liberar a ação — o que é problemático porque esse modelo pode ler justamente o texto malicioso que está tentando manipulá-lo — ou usa defesas de proveniência que exigem um modelo para planejar ou rotear a tarefa antes de cada execução, adicionando chamadas extras e complexidade.

O SPILLWAY propõe uma separação mais simples e determinística: em vez de perguntar a um modelo «essa ação é segura?», o sistema verifica se cada valor-alvo que aparece na saída de uma ferramenta — por exemplo, o destinatário de um e-mail ou a conta de um pagamento — chegou por um campo tipado de uma ferramenta somente-leitura, ou se está coberto por uma regra fixa de delegação. Instruções injetadas, por outro lado, chegam como texto livre dentro de campos de conteúdo, não como valores tipados estruturais, então um sanitizador determinístico remove essas regiões «parecidas com instrução» antes mesmo de o modelo ler o conteúdo, preservando os trechos removidos como evidência auditável. Um juiz local pode restaurar uma chamada recusada, mas nunca uma cujo alvo esteja dentro do texto removido.

Os resultados reportados são expressivos: em testes com três modelos diferentes e sete conjuntos de tarefas, nenhuma injeção padronizada conseguiu redirecionar uma ação para o alvo do atacante sob o SPILLWAY, e mesmo um atacante treinado por reinforcement learning especificamente contra esse tipo de defesa obteve taxa de sucesso média de apenas 0,007 nos casos dentro do escopo esperado. Importante: isso foi alcançado sem forçar o modelo a reexecutar toda a geração quando a defesa dispara, e com praticamente nenhuma chamada extra ao modelo — uma vantagem de custo e latência relevante para quem roda agentes em produção.

O valor prático do trabalho está em mover o ponto de decisão de «o que o modelo pensa que é seguro» para «o que a ferramenta efetivamente garante sobre a origem do dado», que é um sinal mais difícil de manipular para um atacante que só controla o conteúdo de uma página ou documento. Isso não elimina prompt injection por completo — ainda depende de ferramentas exporem corretamente seus campos tipados e de as regras de delegação cobrirem os casos legítimos — mas desloca a defesa para um ponto estrutural do pipeline do agente em vez de depender de heurísticas de linguagem, o que tende a ser mais robusto e mais auditável à medida que agentes pessoais ganham acesso a e-mail, arquivos e dinheiro do usuário.