O artigo mostra que a certificação de agentes de IA por auditoria amostral — checar apenas uma fração aleatória das ações e reponderar estatisticamente o resultado — só é válida se a "moeda" que decide o que auditar for mantida em sigilo perfeito perante o próprio agente, uma propriedade que os autores formalizam como "não-interferência pré-compromisso" (PNI). Em testes com um agente LLM real, uma simples injeção de prompt mencionando um aviso de auditoria visível já bastou para quebrar a certificação, e mesmo sem isso o agente conseguia detectar auditorias "silenciosas" pela latência extra que elas adicionam, exposta nos timestamps das ferramentas.
Fonte ↗Pesquisadores identificaram dois canais laterais na superchip Grace Hopper (GH200) da NVIDIA, que integra CPU e GPU em um dominio de memoria unificado com migracao automatica de paginas: um baseado nos contadores de acesso compartilhados e outro na forma como o driver UVM trata interrupcoes de migracao. Provas de conceito atingem canais encobertos de cerca de 8.500 e 8.100 bits por segundo mesmo atraves de particoes Multi-Instance GPU (MIG), que deveriam oferecer isolamento forte entre inquilinos, e o canal baseado em interrupcoes consegue identificar qual LLM esta rodando e estimar o comprimento do prompt sendo processado durante a inferencia.
Fonte ↗Um survey sistematiza treze trabalhos sobre duas familias distintas de ataque a veiculos autonomos que exploram o canal termico: falsificacao fisica de sensores infravermelhos usados para percepcao noturna, e vazamento de informacao por telemetria termica, de DVFS e de interrupcoes de evento termico que um co-inquilino de software sem privilegios pode observar para identificar (fingerprint) qual workload de percepcao — ou seja, qual modelo de visao computacional — esta em execucao. O trabalho argumenta que nenhuma dessas interfaces pode ser desligada sem comprometer a seguranca funcional do veiculo (SOTIF), criando uma classe de risco residual que sobrevive a qualquer mitigacao unica.
Fonte ↗Pesquisadores demonstraram que um atacante com acesso físico a um dispositivo de borda pode captar emanações eletromagnéticas durante a inferência de um LLM local e reconstruir, sem tocar no software, tanto os tokens gerados quanto o prompt original do usuário. No LLaMA-3.2-1B-Instruct rodando em um Raspberry Pi 5, a técnica atingiu 97,2% de acerto na identificação de palavras-chave sensíveis geradas pelo modelo.
Fonte ↗Um estudo sistemático de quatro fronteiras de confidencialidade em sistemas de LLM local (carregamento de modelo, memória em tempo de execução, persistência do wrapper e interface de servimento) encontrou uma falha de autorização não documentada no llama.cpp que permite a um cliente autenticado restaurar o estado de conversa salvo de outro usuário, com sucesso em 200 de 200 tentativas controladas. Os pesquisadores também mostram que texto puro do prompt sobrevive na memória após a inferência e que o cache compartilhado de prefixo cria um oráculo de temporização explorável remotamente.
Fonte ↗Pesquisadores demonstram o primeiro pipeline de video capaz de recuperar senhas alfanumericas com regras corporativas tipicas digitadas em teclados QWERTY de smartphone, usando apenas a camera de oculos inteligentes Meta Ray-Ban disponiveis comercialmente. O sistema rastreia o aparelho e os dedos da vitima em resolucao subpixel, usa um ensemble de redes neurais self-supervised para prever cada tecla e combina essa evidencia visual com estatisticas de 2,19 bilhoes de senhas vazadas para estimar o tempo de quebra. Senhas humanas de ate 16 caracteres foram quebradas em horas a dias, e senhas de gerenciador de ate 13 caracteres em menos de uma hora numa GPU comum, a distancias de ate 1,8 metro da vitima.
Fonte ↗Pesquisadores demonstram um ataque que reconstroi o texto de saida de LLMs rodando localmente observando apenas a atividade do cache da CPU durante a etapa de detokenizacao, usando Flush+Reload no codigo compartilhado do tokenizador para saber quando a decodificacao ocorre e Prime+Probe para isolar a atividade de cache dependente de cada token, seguido por um pipeline de clustering e modelo de linguagem para recuperar o texto a partir das observacoes ruidosas. Ao contrario de ataques anteriores que exigiam memoria compartilhada, offloading de CPU ou arquiteturas Mixture-of-Experts especificas, este mira o detokenizador, componente padrao presente em praticamente todo pipeline de inferencia local, incluindo sistemas agenticos como o OpenClaw, ampliando bastante a superficie pratica de ataque.
Fonte ↗CacheTracer é uma técnica de medição que explora a reutilização de cache de prefixo em serviços de LLM como canal lateral para detectar quando dois revendedores de API distintos, na prática, compartilham o mesmo provedor de infraestrutura por trás dos panos. Testado contra 39 endpoints reais com 1,1 milhão de requisições, o estudo encontrou compartilhamento de cache em 37,1% dos pares analisados e uma hierarquia de dependência de até sete camadas.
Fonte ↗