Um novo benchmark de prompt injection indireta argumenta que a maioria das avaliações atuais mede apenas ataques que trocam a tarefa do agente, ignorando ataques de «task-tampering» que mantêm a tarefa original mas adulteram a decisão em seis pontos diferentes do raciocínio do agente. Defesas que funcionam bem contra redirecionamento de tarefa falham significativamente contra adulteração de regras de decisão, ações disponíveis e crenças sobre o estado atual.
Fonte ↗RiskyPy automatiza a criação de datasets de teste para avaliar, ao mesmo tempo, se o código gerado por um LLM funciona e se ele é seguro, calibrando a dificuldade dos prompts ao nível de capacidade do modelo avaliado. Nos testes com Qwen3-4B e Seed-Coder-8B, cobrindo 18 categorias do CWE Top 25, entre 57% e 72% dos códigos gerados funcionavam corretamente, mas apenas 5% a 10% ficaram livres de alertas de vulnerabilidade do Bandit.
Fonte ↗O benchmark REEF cobre nove sites funcionais e verificáveis, pareando tarefas legítimas com objetivos maliciosos entregues por cinco tipos de ataque, para medir quão vulneráveis são agentes web baseados em modelos de visão e linguagem a conteúdo adversarial injetado durante a navegação. O framework ANGLER usa os resultados de tentativas anteriores para evoluir os ataques de forma adaptativa, elevando a taxa de sucesso de 15,24% para 20,36% em oito agentes testados, e reduzindo a taxa de sucesso em tarefas legítimas de 61,9% para 44,4%.
Fonte ↗Pesquisadores introduzem o conceito de "near-target prompt injection": ataques que não tentam desviar completamente o modelo de sua tarefa original, mas sim produzir uma resposta que parece legítima e mantém a maior parte do conteúdo correto, só que com uma alteração incorreta ou prejudicial embutida. O benchmark NTBench mostra que todos os sete LLMs avaliados, em dez conjuntos de dados de linguagem e dois benchmarks de agentes, sofrem aumentos de até 35,8 pontos percentuais na taxa de sucesso de ataque nessa modalidade em comparação com ataques de alvo fixo tradicionais.
Fonte ↗Pesquisadores apresentam o INFUSE, um benchmark com 40 tarefas realistas e 56 cenarios de ataque que avalia injecao de prompt indireta (IPI) ao longo de todo o ciclo de vida de agentes de IA que executam comandos de shell, modificam codigo e interagem com servicos remotos — nao apenas em prompts isolados. Testando 19 modelos das familias GPT, Claude, Gemini, Llama, Gemma e Qwen em mais de 41 mil trajetorias adversariais, a taxa media de sucesso de ataque ficou em 19,6%, com modelos individuais variando de 3,2% a 41,9%. Guard models prontos ofereceram protecao limitada, enquanto endurecer as instrucoes no nivel do prompt reduziu o sucesso medio de 58,2% para 14,3%, mas ainda deixando uma lacuna de seguranca relevante.
Fonte ↗Pesquisadores apresentam o CyberArena, um benchmark dinâmico em que dois agentes de IA competem ao mesmo tempo como atacante e defensor sobre serviços em constante mudança, em vez de serem avaliados isoladamente contra alvos estáticos. Em 466 partidas com 12 agentes de modelos de ponta, os agentes mais capazes chegaram a plantar backdoors para rodadas futuras e escrever seus próprios sniffers de pacote para espionar o adversário.
Fonte ↗Pesquisadores criam o MMA-SafetyBench, um benchmark com mais de mil trajetórias adversariais que testa agentes de IA multimodais contra 'Visual Semantic Hijacking' — elementos de interface falsos, como alertas de sistema forjados, inseridos no que o agente vê na tela para desviá-lo da tarefa original. O ataque atingiu taxa de sucesso de quase 88% e taxa de comprometimento semântico de 98% entre nove modelos avaliados, mesmo quando prompts neutros de segurança foram usados.
Fonte ↗O MemForm é um benchmark diagnóstico que isola cinco interfaces distintas pelas quais a memória persistente de um agente de IA pode ser manipulada por um adversário — conteúdo, evidência, escopo, seleção e ordem de consolidação. Testes em seis LLMs mostram suscetibilidade ampla em todas as cinco interfaces, e revelam que até mesmo experiências legítimas e bem-sucedidas podem produzir comportamento indesejado dependendo apenas da ordem em que são consolidadas na memória.
Fonte ↗Pesquisadores da University of Central Florida apresentaram o CredLeakBench, um benchmark que mede se agentes de LLM autonomos vazam informacoes sensiveis quando confrontados com tentativas de phishing, cobrindo tanto autenticacao solicitada pelo usuario quanto monitoramento autonomo de caixa de entrada sem pedido explicito de login. Todos os modelos avaliados se mostraram vulneraveis a algum grau de vazamento, inclusive revelando dados durante monitoramento passivo de e-mail, e as mitigacoes que reduzem o vazamento tendem a prejudicar a capacidade do agente de completar tarefas legitimas.
Fonte ↗Pesquisadores mostram que o BackdoorBench, referência popular para avaliar defesas contra ataques de backdoor em modelos de visão, mede o custo de remoção de forma enviesada: a queda de acurácia é calculada só sobre o modelo já envenenado, misturando o efeito da defesa com falhas de configuração do próprio ataque original, como um agendador de taxa de aprendizado que nunca é acionado em três dos dezesseis ataques do benchmark. Os autores propõem o TARE, que mede o custo real comparando a defesa contra um modelo gêmeo que nunca foi envenenado, revelando que defesas até então consideradas "sem custo" na verdade degradam modelos limpos.
Fonte ↗O NeuroSploit v4.2.0 e um framework de pentest autonomo que orquestra 22 agentes especializados e 7 playbooks de ataque em cadeia, coordenando nove modelos de linguagem de ponta para comprometer ambientes de Active Directory no laboratorio vulneravel GOAD. A abordagem orquestrada atingiu 96-100% de cobertura de tecnicas com 90-97% de precisao e comprometeu tres dominios completos em 134 minutos, contra apenas 21-54% de cobertura e taxas de falso positivo 3,2 vezes maiores quando os mesmos LLMs foram usados de forma direta e isolada.
Fonte ↗O benchmark COPEX isola a susceptibilidade do proprio modelo de linguagem a influencia adversarial dentro de sistemas MCP, fixando o restante da pilha de agente e variando apenas o modelo que seleciona ferramentas, testando 25 tipos de ataque em 125 cenarios distribuidos por quatro superficies de entrada (modelo/agente, cliente, servidor/ferramenta e transporte). Em 3.375 execucoes com nove modelos, a taxa media de sucesso de ataque foi de 64,4%, e defesas combinadas de escaneamento de entrada e contexto reduziram esse sucesso em cerca de 49,6%.
Fonte ↗Modelos treinados com reinforcement learning para decisões calibradas (RLCD) retornam probabilidades ou escolhas que sistemas automatizados executam sem revisão humana, mas sua robustez nunca havia sido medida de forma rigorosa porque eles sempre produzem uma resposta bem-formada, mesmo sob manipulação. O JevAdvBench, com 812 perguntas e quase 10 mil variantes de ataque, mostra que no modelo jev-1.13.0 uma única opinião não verificada anexada ao estado de entrada flipa 12,1% das decisões -- estatisticamente empatado com o comando malicioso mais eficaz testado.
Fonte ↗O AgentXploit divide o red-teaming automatizado de agentes de IA em dois papéis -- um agente analisador que rastreia entradas controladas por atacante até operações sensíveis no código, e um agente explorador que transforma esses caminhos em ataques reais confirmados por um verificador externo. Testado contra 72 vulnerabilidades reproduzíveis em 12 frameworks open-source, atingiu 59,3% de sucesso fim a fim contra 38,4% do Codex, e 79,2% no AgentDojo contra 52,7% do AgentVigil.
Fonte ↗O CASCADE testou 19 ataques de jailbreak contra 15 defesas diferentes, combinadas em várias etapas do pipeline de um LLM, sob um protocolo padronizado de avaliação — algo que faltava numa literatura até então fragmentada por métricas inconsistentes de taxa de sucesso de ataque. A conclusão central, aceita para o EMNLP 2026, é que nenhuma defesa isolada domina todos os cenários, mas combinações bem escolhidas entre estágios reduzem bastante o risco com pouca perda de utilidade do modelo.
Fonte ↗Um benchmark reprodutível testou seis frameworks agênticos, cinco modelos de fronteira e seis formas de embutir instruções maliciosas em imagens (texto OCR, sobreposições, metadados EXIF, QR codes, interfaces falsas e combinações), em 720 execuções. Ataques completos ocorreram em apenas 1% das execuções, mas foram tentados em 12,8%, e ao estender o teste para áudio, o único outro canal perceptivo aceito por modelos de fronteira, a taxa de conclusão do ataque saltou para 49% em média e chegou a 75% num dos modelos.
Fonte ↗O framework EvoSafeHarness busca, de forma conjunta, uma politica em linguagem natural e uma logica de codigo executavel para criar um harness de seguranca especifico para um modelo e dominio de agente, guiado por revisao adversarial em contexto fresco para evitar regras coladas ao benchmark. Em quatro familias de benchmarks de agentes, ele supera defesas fixas desenhadas por especialistas: no DecodingTrust-Agent reduz a taxa de sucesso de ataque de 45,6% para 10,0% com custo de utilidade de apenas 3,3 pontos, e no AgentDojo atinge 82,8% de utilidade com 0% de ataques bem-sucedidos, o dobro da utilidade do CaMeL no mesmo ponto operacional.
Fonte ↗Praticamente todos os benchmarks de injeção de prompt existentes testam contextos curtos, o que segundo os autores infla artificialmente a eficácia percebida das defesas atuais. O LongPIBench cobre quatro cenários realistas — revisão de artigos, triagem de currículos, revisão de código e resumo de e-mails — com contextos de milhares a dezenas de milhares de tokens, e mostra que até ataques simples de injeção conseguem taxas de sucesso altas e contornam defesas de estado da arte nesse regime.
Fonte ↗Pesquisadores apresentam o ADeptS-Bench, benchmark que avalia se agentes de uso de computador (Computer Use Agents) resistem a ameacas embutidas na propria interface visual e se pedem esclarecimento diante de instrucoes ambiguas. Nenhum dos sete modelos avaliados consegue manter mais de 80% de sucesso em tarefas legitimas com menos de 30% de taxa de sucesso de ataque, e nenhum detecta um botao de 'reset de fabrica' disfarçado como 'Otimizar'.
Fonte ↗O estudo Fair-ASR mostra que comparações de eficácia entre ataques de jailbreak são enganosas quando não controlam o número de consultas usadas contra o alvo, e que, sob orçamento igual, técnicas simples continuam competitivas com métodos elaborados guiados por LLM. Usando essa análise, os autores criam o ReCode, um ataque barato que atinge 85% de sucesso contra o GPT-5 usando apenas 20 consultas ao modelo alvo.
Fonte ↗O WeSCE mede 'security drift' — a degradação silenciosa da postura de segurança de um código quando um LLM faz edições pedidas apenas por objetivos funcionais, sem requisito de segurança explícito. O benchmark reúne 400 programas reais cobrindo adição de funcionalidades, remoção de funcionalidades, correção de bugs e refatoração, com uma métrica de risco contínua que captura tanto o caso médio quanto o pior caso.
Fonte ↗Pesquisadores avaliaram 12 agentes de codificação no Terminal-Bench 2.1 sob camadas crescentes de restrições típicas de ambientes corporativos — credenciais limitadas, egresso de rede restrito, sistemas de arquivos somente leitura e execução sem privilégios de root. Sob a política mais rígida, a perda de taxa de sucesso chegou a 18,3 pontos percentuais e o custo de execução inflou até 167,3%, com o modelo que melhor preserva o sucesso sendo justamente o que mais perde em eficiência.
Fonte ↗Pesquisadores apresentam o StealthBench, benchmark que mede a capacidade de agentes de IA autônomos executarem tarefas ofensivas de segurança sem comprometer seu próprio sigilo operacional (OPSEC). Os resultados mostram que nenhum modelo avaliado ultrapassa 54% de taxa de sucesso seguro, revelando que agentes encontram vulnerabilidades reais mas frequentemente "queimam" a operação ao cometer erros grosseiros de tradecraft.
Fonte ↗Diante de um cenário em que técnicas de jailbreak evoluem mais rápido que os benchmarks usados para medi-las, o sistema Jailbreak Foundry usa um fluxo multiagente para traduzir automaticamente papers de jailbreak em módulos executáveis dentro de um harness unificado. Reproduzindo 30 ataques com desvio médio de apenas 0,26 pontos percentuais em relação às taxas de sucesso originalmente reportadas, o sistema permite avaliação padronizada de 10 modelos-alvo sob um único juiz (GPT-4o).
Fonte ↗