Pesquisadores apresentam o LoRA-Patch, uma defesa leve que neutraliza comportamentos maliciosos escondidos em adaptadores LoRA sem precisar retreinar ou alterar o modelo base. A técnica parte da observação de que a injeção de backdoor distorce a geometria direcional do adaptador envenenado e aplica correções camada por camada para realinhar essas direções. Testada contra cinco tipos de ataque de backdoor em três modelos diferentes, a defesa preserva o desempenho em tarefas legítimas e constrói cada correção em menos de 20 segundos.
A OpenCode informou que um invasor acessou, na noite de 16 de outubro, um sistema legado associado ao Console, serviço hospedado opcional que permite a workspaces salvarem centralmente suas próprias chaves de provedores de IA para uso compartilhado pela equipe. A empresa tratou o incidente como exposição potencial das chaves de OpenAI, Anthropic e Google armazenadas por esses workspaces, sem confirmar exfiltração efetiva.
O estudo 'Model-as-a-Trojan' mostra que e possivel fine-tunar um modelo de peso aberto para que, assim que detectar acesso a um shell, exfiltre segredos do ambiente de execucao via consultas DNS codificadas em base32 -- um canal que sobrevive mesmo em sandboxes com toda a saida de internet bloqueada, exceto resolucao de nomes. O implante resistiu a 20 de 20 tentativas de supressao adversarial via prompt e nunca revelou sua existencia sob interrogatorio direto.
Pesquisadores apresentam o DAR (Discover-and-Relabel), uma tecnica de backdoor que, em vez de injetar um padrao-gatilho artificial facilmente removido por destilacao de conhecimento (KD), encontra padroes que ja ocorrem naturalmente em subespacos de baixa dimensao dos dados e reetiqueta apenas amostras que ja satisfazem esse padrao. O resultado e um backdoor que mantem taxa de sucesso de ataque acima de 96% mesmo depois que o modelo comprometido passa por destilacao com dados limpos — processo que, ate entao, era considerado uma defesa eficaz de purificacao contra esse tipo de ataque.
O Langflow, plataforma open-source para construir aplicacoes de IA e workflows agenticos (hoje sob o guarda-chuva da IBM via DataStax), tem uma falha critica de execucao remota de codigo autenticada rastreada como CVE-2026-105740, com CVSS 9.9. Um alerta da Previdian associa 1.423 tentativas de exploracao em honeypots a essa vulnerabilidade, indicando varredura ativa na internet por instancias expostas. A gravidade maxima do CVSS combinada com volume de tentativas reais torna este um dos casos mais urgentes de patch para quem opera Langflow em produção.
Um estudo empírico rastreou 16.977 modelos do Hugging Face já sinalizados como vulneráveis — por falhas como serialização insegura e backdoors arquiteturais — e encontrou mais de 21 mil ocorrências desses modelos em código, espalhadas por mais de 5 mil repositórios open-source, sendo que 3.757 modelos distintos (22,1%) continuam sendo referenciados ativamente mesmo depois de sinalizados. Os autores não encontraram, nos padrões de integração analisados, nenhuma verificação de proveniência ou lógica de sanitização dos modelos antes do uso.
Pesquisadores demonstram que os bits menos significativos (LSBs) dos pesos de ponto flutuante de 32 bits em modelos Transformer como BERT e ViT podem ser usados como canal encoberto para esconder payloads maliciosos na cadeia de suprimentos de modelos de IA, e propõem o GrayShield, um metodo de sanitizacao pos-treinamento que elimina esse canal sobrescrevendo os bits com uma sequencia guiada por codigo Gray. A tecnica reduz a recuperacao do payload a nivel de chance binaria, com impacto de acuracia inferior a 1% e menor distorcao na distribuicao dos pesos do que as defesas alternativas avaliadas.
Pesquisadores revisitaram o clássico ataque "Reflections on Trusting Trust", de Ken Thompson, aplicando-o a agentes de codificação que reescrevem seu próprio código com base em autoavaliação. Ao contaminar os benchmarks usados nesse processo de autoaperfeiçoamento, conseguiram induzir agentes como o Hyperagents (rodando sobre Sonnet 4.5) a evoluir instruções que desativam a validação de certificado HTTPS em tarefas completamente neutras. A contaminação frequentemente persiste mesmo depois que o agente volta a ser treinado com benchmarks limpos.
O framework PentestChain combina um modelo local pequeno (qwen2.5-7b via Ollama), camadas gratuitas de OpenRouter e Cerebras e um mapa determinístico de exploits para realizar testes de penetração automatizados a custo zero de API, expondo tudo via um servidor MCP com onze ferramentas. Os autores também mapeiam a própria superfície de ataque que um servidor MCP ofensivo introduz, citando incidentes reais como a falha remota CVE-2025-6514 no mcp-remote e o backdoor de cadeia de suprimento no pacote postmark-mcp.
Pesquisadores demonstraram o AGENTQ, um ataque de backdoor condicionado à quantização que permite publicar um checkpoint de LLM em ponto flutuante completo, aparentemente limpo em qualquer auditoria, mas que passa a executar ações maliciosas assim que é quantizado para formatos como NF4, FP4 ou INT8 — o caminho de implantação padrão para a maioria dos agentes de peso aberto. O ataque atinge até 100% de taxa de sucesso pós-quantização preservando a utilidade normal do agente, tanto no checkpoint original quanto no quantizado em condições sem gatilho.
Um censo de segurança cobrindo os 21.643 servidores do registro público do Model Context Protocol (MCP) — a interface pela qual aplicações de LLM acessam ferramentas externas — encontrou exposição de rede sem autenticação em 9,57% dos servidores escaneados e, mais grave, um padrão generalizado de instabilidade: 51,1% dos servidores multiversão mudaram o que anunciam entre versões, 40,6% o fizeram silenciosamente, e essa "deriva silenciosa" está associada a quase três vezes mais chance de um achado de severidade alta.
Pesquisadores demonstram o Load Hijack, um ataque de cadeia de suprimentos em que um provedor malicioso de checkpoints modifica apenas os pesos do roteador de um modelo Mixture-of-Experts, mantendo um gatilho privado que, quando presente na entrada, concentra o roteamento de tokens em experts hospedados numa única GPU — transformando esse dispositivo num gargalo que atrasa todos os pares em paralelismo de especialistas, sem alterar visivelmente o comportamento do modelo em entradas normais. O ataque atinge de 92,3% a 95,6% de concentração de tokens nos experts alvo e, em serviço real, aumenta o tempo até o primeiro token em 43% enquanto derruba o throughput.
O Paperclip, control plane open source para orquestrar equipes de agentes de IA, tinha três falhas de segurança: uma execução remota de comandos com CVSS 10.0 explorável por atacante não autenticado via importação de um pacote de agente malicioso, um bypass de autenticação por DNS rebinding contra o modo local confiável, e exposição de dados de execução e detalhes do control plane por rotas de API sem autenticação adequada. Todas foram corrigidas na versão v2026.416.0.
Pesquisadores da Zafran Labs divulgaram três vulnerabilidades de alta severidade na biblioteca Diffusers da Hugging Face que permitem a um repositório de modelo malicioso executar código arbitrário na máquina de quem o carrega, contornando a proteção `trust_remote_code=False`. As falhas foram corrigidas na versão 0.38.0, lançada em maio de 2026.