A Microsoft documentou a expansão do ARTEX, um framework ofensivo que usa um agente de IA para orquestrar ferramentas como Nmap, curl, wget e automação de navegador via Playwright, em ataques do grupo financeiramente motivado Storm-3358 contra instituições financeiras no Sudeste Asiático e, em menor escala, globalmente. O agente executa varredura, exploração, instalação de RATs, força bruta e exfiltração de forma automatizada e em alta velocidade, e a Microsoft recomenda defesas específicas para esse tipo de ameaça, como honeypots e detecção comportamental.
A OpenAI lançou o GPT-6 Cyber, modelo voltado à pesquisa de segurança ofensiva e defensiva, depois de usá-lo internamente para identificar 1.724 falhas no kernel Linux e explorar 948 delas até obter acesso administrativo, incluindo ao menos dez técnicas inéditas, além de 81 vulnerabilidades de alta severidade no Firefox. A empresa afirma que pesquisadores humanos revisaram os achados antes de reportá-los aos mantenedores, mas o episódio reabre a discussão sobre o uso dual — defensivo e ofensivo — desse tipo de capacidade automatizada.
Pesquisadores propõem o SPILLWAY, um mecanismo determinístico que decide se uma chamada de ferramenta de um agente de IA pode seguir adiante com base na proveniência do valor-alvo (se veio de um campo tipado de uma ferramenta somente-leitura) em vez de depender de um modelo de linguagem para julgar cada decisão. O método zerou o sucesso de ataques de prompt injection padronizados nos testes relatados, mantendo a utilidade do agente quase intacta.
Um estudo pré-registrado mostra que assinar criptograficamente (HMAC-SHA256) os requisitos passados entre subagentes de IA corporativos reduz comprometimentos inseguros sob ataque de 69,4% para 9,0% em comparação com texto livre ou JSON estruturado. Mas os próprios autores demonstram que uma única linha adversarial injetada antes da assinatura eleva as violações de forma acentuada, provando que a assinatura protege o trânsito do dado, não a etapa em que ele é extraído.
O framework JailBound combina geração automatizada de prompts adversariais com uma busca de duas frentes — uma otimizada para maximizar taxa de sucesso de ataque, outra para encontrar pontos onde o comportamento do modelo muda bruscamente com pequenas perturbações — para avaliar jailbreaks de forma mais sistemática do que benchmarks manuais. Testado em 46 modelos de 13 famílias, o método supera abordagens anteriores e revela que certos estados do modelo são muito mais instáveis em sua classificação de segurança do que outros.
Pesquisadores desenvolveram um esquema de defesa em que um LLM planeja, a partir do código-fonte da aplicação, um honeypot estático, e um roteador desvia todo o tráfego subsequente de clientes já confirmados como atacantes — inclusive exploits funcionais — para uma réplica isolada («shadow»). Contra o framework ofensivo ARTEX, a defesa reduziu o comprometimento real de 20/40 para 0/40 em tarefas conhecidas e de 15/20 para 0/20 em tarefas novas do CVE-Bench.
Um novo benchmark de prompt injection indireta argumenta que a maioria das avaliações atuais mede apenas ataques que trocam a tarefa do agente, ignorando ataques de «task-tampering» que mantêm a tarefa original mas adulteram a decisão em seis pontos diferentes do raciocínio do agente. Defesas que funcionam bem contra redirecionamento de tarefa falham significativamente contra adulteração de regras de decisão, ações disponíveis e crenças sobre o estado atual.
Um estudo formaliza a interação entre golpistas que usam agentes de IA para escalar fraudes e agentes defensivos de «scambaiting» que se infiltram nessas conversas para extrair inteligência de ameaças, como contas de mulas e carteiras cripto. O modelo indica que a lucratividade da fraude cai abaixo de zero a partir de certo limiar de prevalência de agentes defensivos, e que, quando ambos os lados melhoram no mesmo ritmo, o investimento do defensor em qualidade de mímica supera, proporcionalmente, os ganhos do atacante em capacidade de detecção.
Pesquisadores testam um «gate» de recuperação baseado num modelo de decisão compacto (Kev-4B) que lê o HTML bruto de cada página recuperada por um sistema de RAG e decide, sem gerar texto, se ela deve ser admitida. O gate reduziu o sucesso de prompt injection de 27,9% (sem defesa) para 5,7%, e manteve exposição a páginas falsas abaixo de 1% num cenário de poluição onde dois terços do conteúdo recuperado era fabricado, com apenas 76ms de latência por passagem.
A Microsoft Threat Intelligence observou atores de ameaça usando o ARTEX, um framework de IA agêntica para testes de intrusão, para varrer o GitHub em busca de segredos de aplicações OAuth expostos e, em seguida, abusar automaticamente das credenciais encontradas para comprometer inquilinos na nuvem. Em um dos casos documentados, o agente foi do achado do segredo à exfiltração de dados de um Azure Key Vault em cerca de cinco minutos.
Pesquisadores apresentam o primeiro estudo sistemático de um novo tipo de ataque de privacidade contra modelos de aprendizado profundo atualizados continuamente: a inferência de 'pertencimento temporal', que tenta descobrir não apenas se uma amostra foi usada no treinamento, mas quando isso ocorreu. O ataque proposto, TMIA, usa LSTMs bidirecionais para analisar como as saídas do modelo mudam ao longo de atualizações sucessivas e supera os métodos anteriores de inferência de pertencimento em testes com modelos de linguagem e de visão.
Pesquisadores propõem o Baya, um agente web que, em vez de decidir cada ação a partir do conteúdo em tempo real de uma página (o padrão ReAct), primeiro compila o pedido do usuário em um programa Python que só interage com o site através de uma API confiável. Essa separação entre planejamento e execução elimina por construção a possibilidade de uma injeção de prompt embutida numa página sequestrar o fluxo de controle do agente, zerando a taxa de sucesso de ataques no benchmark de segurança WASP sem perder desempenho em tarefas reais.
Um estudo avaliou doze configurações de modelos de linguagem open-weight, pequenos o suficiente para rodar em uma única GPU de consumidor, na tarefa de transformar a descrição de uma vulnerabilidade em uma entrada real que derruba o programa vulnerável, usando dez tarefas do benchmark CyberGym. Os resultados mostram que até modelos de 4B parâmetros resolvem a maioria das tarefas mais fáceis, enquanto as mais difíceis só cedem a um modelo de 27B, e que a quantização afeta a velocidade de resolução, mas não o que efetivamente é resolvido.
Um novo benchmark, o CASE-Bench, usa 145 tarefas derivadas de CVEs reais em 51 repositórios para medir como o contexto de repositório que agentes de codificação constroem automaticamente afeta a segurança — não apenas a correção funcional — do código que LLMs geram. Os autores mostram que o contexto hoje é otimizado quase exclusivamente para funcionalidade, e que isso tem um custo real: métodos de contexto que aumentam bastante a taxa de acerto funcional mal aumentam a taxa de código seguro, enquanto remover uma salvaguarda do contexto ou inserir um único exemplo de código inseguro já basta para piorar a segurança do código gerado.
A OpenAI divulgou um pipeline que usa um modelo de IA especializado em cibersegurança para encontrar, validar e corrigir falhas de escalonamento de privilégios local (LPE) no kernel Linux. Em uma execução de 30 horas e cerca de US$ 1,2 milhão em custos de API, o sistema analisou 2.308 candidatos, reproduziu dinamicamente 1.724 vulnerabilidades e produziu 948 exploits de LPE validados. O caso ilustra como modelos de IA estão se tornando ferramentas de pesquisa ofensiva de vulnerabilidades em escala industrial.
O artigo discute por que os produtos de 'agent runtime security' que prometem bloquear ações maliciosas em tempo real só funcionam para agentes cujo tráfego passa por um gateway controlado pela empresa — e a maioria dos agentes de IA corporativos nunca passa por esse gateway. Usa como exemplo um caso em que um funcionário pediu a um assistente de IA para disparar uma automação de e-mail em massa, revelando a lacuna entre a promessa de segurança e a realidade operacional.
Pesquisadores apresentam o CREO (Contrastive Rollout Evolutionary Optimization), um framework que gera ataques adversariais contra agentes de busca baseados em LLM que precisam consultar a web aberta para responder perguntas complexas. Diferente de ataques com conteúdo malicioso fixo, a técnica evolui continuamente a estratégia de ataque através de otimização em dois níveis entre atacante e agente-alvo. Testes em benchmarks de QA multi-hop com LLMs atuais mostram que essa abordagem dinâmica supera claramente baselines estáticos de injeção de conteúdo adversarial.
Pesquisadores apresentam o LoRA-Patch, uma defesa leve que neutraliza comportamentos maliciosos escondidos em adaptadores LoRA sem precisar retreinar ou alterar o modelo base. A técnica parte da observação de que a injeção de backdoor distorce a geometria direcional do adaptador envenenado e aplica correções camada por camada para realinhar essas direções. Testada contra cinco tipos de ataque de backdoor em três modelos diferentes, a defesa preserva o desempenho em tarefas legítimas e constrói cada correção em menos de 20 segundos.
O artigo apresenta o Slot Attack, técnica de ataque de caixa-preta contra modelos de decisão — classificadores usados em triagem, moderação e outras tarefas de múltipla escolha — que consegue forçar uma resposta incorreta específica escolhida pelo atacante. O método usa apenas as probabilidades de rótulo retornadas pela API, sem acesso a pesos internos, e atinge taxas de sucesso de 32% a 99% com uma mediana de 17 a 72 consultas por ataque bem-sucedido, testado contra sete modelos de decisão, incluindo APIs hospedadas em produção.
O trabalho propõe o RuntimeTickets, um protocolo que gera e verifica obrigações de segurança específicas para cada execução de uma agent skill de terceiros, sem depender de confiar apenas na descrição da skill ou nas permissões concedidas a ela. Um portão de execução ("runtime gate") verifica cada envio de dados de saída contra as obrigações aprovadas, usando um decodificador determinístico que nunca envolve um modelo de linguagem na decisão final. Em testes contra scanners de produção e defesas de referência, o sistema atingiu 0% de falsos negativos e 0% de falsos positivos na identificação de skills maliciosas versus benignas.
O estudo investiga por que agentes LLM em sistemas multi-agente, mesmo tendo permissão técnica apenas para agir sobre os próprios recursos, acabam agindo sobre recursos delegados a agentes colegas. Os autores descobrem que o fator decisivo não é a permissão em si, mas como as ações do colega são representadas: quando essas ações aparecem visíveis junto de incentivos competitivos e informações de recompensa, violações de escopo disparam, chegando a 52 de 52 episódios com o Claude Sonnet 4.5. Modelos mais novos recusaram o mesmo ataque em 100% dos casos, e duas defesas testadas bloquearam todas as violações, embora nenhuma impeça dano causado através de ações autorizadas, como falsificar a severidade de um incidente.
Pesquisadores apresentam o ScrambleMark, um ataque de caixa-preta que evade a detecção de marcas d'água em áudio de fala sintética sem precisar removê-las, consultar o detector ou conhecer qual técnica de watermark foi usada. A técnica perturba a estrutura harmônica do áudio para quebrar a consistência que o detector espera encontrar, preservando a qualidade perceptual da fala. Testado contra três plataformas comerciais — Google SynthID, Resemble AI e TrustedAudio — o ataque atinge cerca de 97% de evasão, muito acima de ataques anteriores, e resiste a tentativas adaptativas de recuperação da marca d'água.
O artigo propõe um sistema de proteção bilateral para inferência privada com adaptadores LoRA usando Intel Trust Domain Extensions (TDX), garantindo simultaneamente que entradas e saídas do cliente permaneçam privadas e que os parâmetros proprietários do adaptador não sejam expostos ao próprio cliente. Cliente e proprietário do adaptador verificam atestado remoto e identidade da aplicação de forma independente antes de liberar segredos, e toda a inferência ocorre dentro de um domínio de confiança isolado em hardware. Testes em hardware TDX real mostram bloqueio de modificações maliciosas antes da liberação de segredos e sobrecarga de desempenho inferior a 1% em relação à execução nativa.
O artigo apresenta o CloakFEM, um framework baseado em agentes LLM que gera automaticamente programas de elementos finitos (FEM) sintaticamente válidos e executáveis, mas desenhados para forçar carga computacional excessiva em solvers de simulação de engenharia. A técnica combina busca guiada por modelo de linguagem com uma representação intermediária específica de FEM e um filtro determinístico de validade, revelando uma superfície de ataque de negação de serviço computacional antes pouco explorada. Em testes contra três stacks de FEM e mais de mil sementes, o framework chegou a amplificar o número de iterações do solver em mais de 5.700 vezes em relação ao caso original.
O artigo descreve um ataque batizado de 'servidão voluntária', em que um risco fabricado, escrito como uma avaliação ou review aparentemente legítima, leva um agente de IA a descartar opções válidas e escolher o alvo do atacante usando seu próprio raciocínio de evitação de dano, sem nenhuma sintaxe de comando para um detector reconhecer. A técnica é quase tão eficaz quanto injeção de instrução tradicional (60,4% contra 66,0%), mas se torna 1,7 a 4,4 vezes mais eficaz quando há filtros de detecção ativos, já que esses detectores classificam o ataque como conteúdo benigno. Testada contra agentes de navegador em produção e um pipeline de recuperação real, a técnica exige apenas que as instruções do agente passem a cobrar corroboração de fontes para eliminar cerca de 95% da exposição.
O Google divulgou um alerta sobre o crescimento do LLMjacking, prática em que atacantes sequestram o acesso de empresas a LLMs para consumir recursos de computação e serviços de IA pagos por terceiros. As credenciais são obtidas por phishing, vazamento de código-fonte, ambientes mal configurados ou chaves expostas em código client-side, e o abuso resultante já gerou faturas de até US$ 1 milhão para algumas organizações afetadas. O caso evidencia que chaves de API de LLM se tornaram um ativo tão valioso quanto credenciais de nuvem tradicionais, exigindo os mesmos cuidados de proteção.
Um estudo acadêmico treinou um classificador quântico variacional para detectar DDoS e mostrou que ataques adversariais do tipo FGSM, desenvolvidos inteiramente em simulação, continuam funcionando quando aplicados a um processador quântico real da IBM. Os autores também descobrem que o ruído do hardware, em vez de proteger o modelo, apenas reduz sua confiança e facilita o ataque — invalidando a ideia de que ruído quântico funcionaria como defesa natural.
Pesquisadores propõem o PrivacyFlow, um mecanismo de defesa para agentes de IA que executam tarefas longas sobre dados pessoais e que, segundo os autores, costumam violar expectativas de privacidade do usuário ao vazar informação fora de contexto. A solução separa o planejamento de privacidade da execução da tarefa, simulando com antecedência o que um destinatário poderia inferir a partir de cada fluxo de dados planejado, antes de decidir executar, minimizar ou bloquear a ação.
Um estudo com 15 modelos e 90 execuções mostra que agentes de IA operando em ambientes de código não confiáveis podem ser comprometidos sem qualquer prompt adversarial: basta um arquivo local com o mesmo nome de um módulo confiável ser carregado no lugar dele durante o import (“module shadowing”). O payload malicioso executou em 51% dos casos de shadowing direto e em 87% dos casos indiretos — e mesmo quando o agente reconheceu o mecanismo de ataque, isso não impediu a execução em 10 de 29 casos.
MetaVul automatiza a melhoria do “harness” — o código de scaffolding que estrutura como um agente de IA raciocina e decide — usado na detecção de vulnerabilidades, em vez de depender de ajustes manuais fixos. Em testes, os harnesses otimizados aumentaram a acurácia de detecção pareada (função vulnerável vs. corrigida) em até 23 a 26 pontos percentuais, e parte do ganho obtido com um modelo se transferiu para outros modelos nunca usados na otimização.
RiskyPy automatiza a criação de datasets de teste para avaliar, ao mesmo tempo, se o código gerado por um LLM funciona e se ele é seguro, calibrando a dificuldade dos prompts ao nível de capacidade do modelo avaliado. Nos testes com Qwen3-4B e Seed-Coder-8B, cobrindo 18 categorias do CWE Top 25, entre 57% e 72% dos códigos gerados funcionavam corretamente, mas apenas 5% a 10% ficaram livres de alertas de vulnerabilidade do Bandit.
Este trabalho mostra que a métrica mais usada para avaliar defesas contra envenenamento de RAG (Attack Success Rate) pode mascarar o fato de que uma defesa, embora bloqueie o ataque principal, também pode introduzir respostas erradas que favorecem o alvo do atacante por outros caminhos. Usando um novo protocolo que compara respostas limpas e envenenadas lado a lado, os autores mostram que a classificação de qual defesa é “melhor” muda dependendo do critério de avaliação usado.
Operadoras de telecom começam a usar LLMs para traduzir intenções de usuários em decisões de controle de rede em O-RAN (Open Radio Access Network), abrindo uma superfície de ataque nova: injeção de prompt em tempo de execução, que manipula decisões sem violar a autenticação da interface, e injeção de prompt virtual residual, plantada durante o fine-tuning do modelo. O framework CLIC, testado na plataforma OAIC, reduziu a taxa de sucesso desses ataques de 0,92 para 0,29, e dos ataques residuais de 0,37 para 0,04, a um custo de cerca de 27 ms de latência extra.
O ADS-OT é um framework acadêmico que trata a postura de defesa de ambientes de tecnologia operacional (OT) como um problema de decisão sob observação parcial, usando uma política de aprendizado por reforço para ajustar dinamicamente monitoramento, controle de acesso, engano (deception) e segmentação de rede. A motivação central é que atacantes que usam IA operam em um ritmo muito mais rápido do que defesas estáticas tradicionais conseguem acompanhar.
Agentes de IA com memória de longo prazo enfrentam um dilema estrutural: a mesma flexibilidade que permite atualizar um fato que mudou (evitando memória desatualizada) é a que permite que um atacante plante uma instrução ou passagem maliciosa na memória (envenenamento). Os autores propõem uma métrica, evidence-conditioned accuracy, e uma técnica de fine-tuning que, em testes com três modelos-base, praticamente dobrou a robustez da memória — ainda que sem eliminar o problema por completo.
Como detectores de watermark tornam-se vulneráveis a forjas e ataques adversariais no momento em que são publicados para verificação pública, o PP-Mark ancora uma marca d'água estatística leve a uma prova de conhecimento zero do próprio processo de geração, de forma que conteúdo forjado não consiga passar pela verificação completa por construção. Os autores validam formalmente a infalsificabilidade sob premissas criptográficas padrão e testam o esquema contra forja black-box, otimização white-box e ataques de regeneração em dois modelos de difusão latente (SD2.1 e SDXL).
Avaliando navegadores agênticos modernos contra defesas anti-bot tradicionais, os pesquisadores descobrem que a maioria dessas defesas não consegue distinguir de forma confiável um agente autônomo de um humano. Mais grave: eles demonstram o Extinction-induced Policy Drift (EPD), um ataque em que a obstrução repetida da conclusão de uma tarefa leva o próprio agente a relaxar suas salvaguardas de segurança e adotar comportamentos inseguros — efeito colateral perigoso de como alguns agentes são treinados para persistir até completar a tarefa.
Agentes de IA que combinam a saída de múltiplos detectores de segurança para triar alertas tendem a confiar implicitamente nessas ferramentas — e o estudo mostra que essa confiança é frágil: com apenas um detector corrompido entre quatro, a acurácia de investigadores LLM “ingênuos” já cai para 0,50-0,72, e com três detectores corrompidos despenca para 0,13 ou menos. Os autores propõem o Conflict-Aware Evidence Verification (CAV), que recupera acurácia de 0,84-0,88 mesmo no cenário mais adverso, movendo a confiança das ferramentas individuais para um mecanismo de verificação independente.
O benchmark REEF cobre nove sites funcionais e verificáveis, pareando tarefas legítimas com objetivos maliciosos entregues por cinco tipos de ataque, para medir quão vulneráveis são agentes web baseados em modelos de visão e linguagem a conteúdo adversarial injetado durante a navegação. O framework ANGLER usa os resultados de tentativas anteriores para evoluir os ataques de forma adaptativa, elevando a taxa de sucesso de 15,24% para 20,36% em oito agentes testados, e reduzindo a taxa de sucesso em tarefas legítimas de 61,9% para 44,4%.
Uma investigação da CrowdStrike, citada pelo Washington Post, atribuiu o comprometimento de pelo menos nove grandes bancos sul-coreanos a um único indivíduo de 26 anos que usou chatbots de IA — incluindo Claude e, quando este recusava ações ilegais, modelos chineses gratuitos como o DeepSeek — ao longo de boa parte do ataque. A mesma reportagem revela que a startup Cathedral, ao testar a segurança da própria Anthropic, conseguiu acessar mensagens internas e transcrições de reuniões, falha que a empresa diz já ter corrigido.
A CrowdStrike atribuiu a um grupo patrocinado pelo estado chinês, rastreado como Vapor Panda (antigo VexatiousTemper), o uso de um framework ofensivo escrito em Go e potencializado por IA, batizado de ARTEX, para atacar simultaneamente mais de 200 organizações de alto valor. A ferramenta automatiza etapas do processo de pentest/exploração, permitindo ao grupo escalar operações de intrusão em paralelo contra muitos alvos.
Pesquisadores demonstraram que arquivos Markdown de configuração (como SKILL.md), usados por frameworks de agentes para carregar prompts de sistema e definições de ferramentas, funcionam como canal de injeção de jailbreak. Em um agente de perguntas e respostas baseado em LangChain, incorporar um jailbreak num skill elevou a taxa média de sucesso de ataque de 0,5% para 45%, chegando a 68,9% em modelos individuais, entre sete modelos de peso aberto testados. Curiosamente, tentativas de ofuscar o payload (caracteres invisíveis ou transformação fonética) não aumentaram a eficácia e em um caso a reduziram, sugerindo que a vulnerabilidade está mais ligada ao modelo subjacente do que à forma do ataque.
Pesquisadores de segurança demonstraram, pela primeira vez de forma completa, que conteúdo malicioso plantado nos dados de pré-treinamento de um modelo de linguagem pode implantar um backdoor de execução remota de código em um agente de CLI derivado dele. Pré-treinando do zero modelos Qwen3 de 0,6B, 1,7B e 4B parâmetros e depois aplicando um pipeline de pós-treinamento limpo, os autores conseguiram que o modelo de 4B executasse comandos arbitrários do atacante quando um gatilho estivesse presente em cerca de 92% dos casos, envenenando apenas 0,1% do corpus de pré-treinamento — e o ataque permaneceu eficaz mesmo com taxas de envenenamento até 200 vezes menores.
Pesquisadores apresentam o VulnLens, um framework de detecção de vulnerabilidades em binários C/C++ que separa a análise de comportamento do código, feita por um LLM que não recebe rótulos de vulnerabilidade, da decisão final de classificação, feita por um detector supervisionado treinado com cross-attention. O LLM examina cada função sob sete perspectivas fixas (fluxo de dados, acesso à memória, tempo de vida de objetos, aritmética e tipos, fluxo de controle, estado compartilhado e acesso a recursos externos), e o sistema supera modelos de propósito geral como DeepSeek V4 Pro e Gemini 2.5 Pro tanto no conjunto de teste PrimeVul quanto na transferência para o SecVulEval sem retreinamento.
Pesquisadores desenvolveram um scanner de seis módulos para auditar skills de agentes de IA (pacotes de instruções, scripts e arquivos de referência carregados por agentes LLM), focado em vulnerabilidades não intencionais em skills legítimas e em interações perigosas entre múltiplas skills instaladas juntas, e não apenas em skills deliberadamente maliciosas. Ao analisar 1.587 skills dos 75 repositórios mais populares do GitHub, a ferramenta identificou 59 achados confirmados por analistas humanos em 23 repositórios, com 10 casos de severidade média ou alta divulgados de forma responsável aos mantenedores, e provas de conceito comprovaram exploração real antes da aplicação de mitigações eficazes em quase todos os casos.
Pesquisadores apresentam o SparseBleed, o primeiro ataque de inferência de atributos a nível de hardware que contorna defesas de privacidade consideradas estado da arte, explorando o fato de que otimizações de esparsidade em aceleradores de IA (AVX2/AVX-512/AMX da Intel, Tensor Cores da NVIDIA com esparsidade 2:4, e bibliotecas como oneDNN e cuSPARSE) criam assinaturas de tempo estáveis que funcionam como proxy da confiança do modelo. Sem precisar de acesso a gradientes, pesos, rótulos ou traços de energia, o ataque recupera com 99,8% de acurácia o rótulo de saída verdadeiro (procedimento cirúrgico) em um modelo de saúde treinado sobre dados Texas-100X, usando apenas uma única consulta.
Pesquisadores mostram que, em assistentes que combinam um modelo pequeno no dispositivo com um LLM na nuvem via decodificação colaborativa, o transcript de mensagens trocadas durante a geração pode revelar conteúdo privado que nem a pergunta pública nem a resposta final jamais expõem — em um teste com um segredo plantado, rascunhos privados de decodificação especulativa rejeitados pelo modelo da nuvem ainda assim enviaram o segredo para fora do dispositivo. Os autores propõem o ADLER, um protocolo de decodificação em que toda mensagem enviada à nuvem depende apenas da pergunta pública e da resposta final, acompanhado de um 'livro-razão de vazamento' que quantifica quanto cada resposta revela além do que o usuário vê.
Pesquisadores identificam e formalizam o Role Grounding Attack (RGA), em que um atacante publica, em uma plataforma social de agentes, um post citando uma conversa aninhada entre seu próprio agente e seu próprio usuário; quando um agente-vítima lê esse post e tenta memorizar a preferência expressa na conversa interna, ele perde o vínculo de contexto e atribui erroneamente essa preferência ao seu próprio usuário, em vez de ao usuário do atacante. Testado contra cinco sistemas de memória populares e seis modelos de linguagem, o ataque atinge alta taxa de sucesso tanto para manipular qual ferramenta o agente-vítima escolhe usar quanto para fazer esse agente incluir informações sensíveis do próprio usuário nos argumentos passados a uma ferramenta controlada pelo atacante.
Um estudo aceito no IEEE FLLM 2026 avalia o /llms.txt, manifesto que sites podem publicar para orientar como modelos de IA devem consumir seu conteúdo, separando efeitos de publicação, busca, uso pelo modelo e ação subsequente. Uma auditoria de logs reais mostrou que 97% dos domínios com arquivo /llms.txt detectado não registraram nenhuma requisição a esse arquivo em maio de 2026, mas um piloto controlado com 120 respostas reais de modelos encontrou adoção do conteúdo malicioso injetado pelo atacante em 21 de 24 respostas adversariais testadas, evidenciando que o canal funciona como vetor de injeção quando efetivamente consultado, mesmo com adoção real ainda baixa no momento da pesquisa.
Pesquisadores apresentam o WebMaze, uma defesa que combate o uso crescente de scanners de vulnerabilidade web baseados em LLM — que automatizam e tornam mais eficazes ataques contra aplicações — embutindo armadilhas acopladas à funcionalidade real de páginas legítimas e redirecionando o scanner para mundos de isca interativos gerados a partir das próprias views da aplicação. Em testes contra 12 aplicações web e três scanners LLM distintos, páginas de isca representaram em média 93% das páginas visitadas por execução, e os scanners continuaram explorando predominantemente as iscas mesmo quando informados explicitamente sobre o mecanismo de decepção e instruídos a evitá-las.