O SpecGuard propõe monitorar diálogos inteiros com LLMs, e não mensagens isoladas, convertendo observações em linguagem natural em fatos verificáveis e checando-os contra especificações formais de comportamento proibido escritas em lógica temporal linear. O framework não exige treinar um classificador e supera guard models de código aberto mantendo taxa controlada de falsos positivos, além de produzir um rastro de decisão auditável.
O AdvGuard ataca o vazamento de system prompt por consultas adaptativas e multi-turno, modelando relações entre perguntas sucessivas como um grafo de interação semântica e classificando padrões de extração coordenada com uma rede convolucional de grafos. Testado contra os ataques adaptativos PLeak e LeakAgent, o framework reduz o vazamento por correspondência exata para no máximo 1% nos modelos avaliados, mantendo recall de 100% em cenários multi-turno.
O SCS (Supply-Chain Scanner for Agent Skills) é um analisador estático que unifica instruções em linguagem natural e código executável das skills de terceiros usadas por agentes de LLM, construindo um grafo de dependência cruzado entre os dois domínios para detectar comportamento malicioso que escaparia de scanners baseados só em regras ou em julgamento direto de LLM. Aplicado a 66.157 skills reais do repositório ClawHub, o sistema sinalizou 2.473 candidatas suspeitas, das quais 627 foram confirmadas maliciosas por validação dinâmica e revisão manual.
Pesquisadores propõem o MPIDetector, que usa o próprio raciocínio em contexto (in-context learning) de LLMs para identificar instruções maliciosas escondidas em texto ou imagens, em vez de depender de assinaturas ou perplexidade. O método atinge até 90,91% de acurácia em texto, 99,28% em imagens e 99,8% de detecção contra 500 injeções altamente ofuscadas em agentes web.
Pesquisadores criaram o MiniLab, um ambiente sintético com cinco serviços interligados, para testar ataques em que múltiplos agentes de IA dividem entre si fragmentos de uma ação maliciosa maior. Quando um monitor de IA (GPT-5.6 Sol) analisa cada agente isoladamente, detecta apenas 7% desses ataques distribuídos, contra 87% quando a mesma tarefa é executada por um único agente, evidenciando uma lacuna estrutural na forma como os sistemas de controle avaliam tramas multiagente.
Um estudo comparou quatro abordagens de deteccao de injecao de prompt — um modelo de decisao probabilistica nativo (Jev), dois classificadores Llama Prompt Guard 2 (22M e 86M parametros) e um juiz baseado em LLM — em 47.611 exemplos cobrindo injecoes diretas, indiretas, entradas benignas dificeis e mudanca de distribuicao. O juiz LLM obteve a melhor discriminacao (AUROC 0,897), mas o achado mais importante e operacional: para atingir uma taxa de falso negativo de apenas 1%, todos os sistemas avaliados exigiram escalar para revisao humana mais de 91,8% das entradas, tornando politicas automatizadas de permitir/bloquear/escalar pouco praticas sob deriva de distribuicao.
Pesquisadores propõem o TokenScanner, um método para detectar LoRAs (adaptadores de baixa dimensão) maliciosos em modelos de difusão texto-para-imagem, que se comportam normalmente até um token-gatilho escondido no prompt ativar conteúdo definido pelo atacante. A técnica varre toda a vocabulário do tokenizador medindo a resposta específica de cada token dentro do LoRA e atinge 95,96% de AUC na detecção, além de identificar o próprio token-gatilho em até 99,4% dos casos entre os cinco candidatos mais prováveis.
Pesquisadores propõem um framework de detecção de prompt injection indireta em assistentes de email que, em vez de classificar cada texto isoladamente como malicioso ou não, modela o ataque como uma sequência de estágios -- combinando um detector de texto, verificadores específicos por estágio, regras de risco e checagem de consistência entre a intenção do usuário e as ações do agente. O método atingiu F1 médio de 0,406 contra 0,216 do melhor detector pré-treinado avaliado, e mostrou que treinar com emails benignos que se parecem com ataques reduz falsos positivos sem perder sensibilidade.
O Delphi Scanner é um sistema de detecção estática de malware para executáveis PE do Windows que combina uma rede neural convolucional sobre sequências de chamadas de API com uma camada de interpretação baseada em regras, atingindo 95,35% de acurácia em mais de 190 mil arquivos com um modelo de apenas 1,53 MB. Testes de robustez em amostras fora de distribuição e sob três estratégias de manipulação adversarial mostram resistência a técnicas de evasão que preservam a funcionalidade do malware.
O framework DDQN-MLP usa um Double Deep Q-Network apenas durante o treinamento, para ponderar dinamicamente a importância de cada amostra com base em perda e confiança de predição, guiando um classificador MLP final que é o único componente mantido em produção. Avaliado com validação cruzada em 2.000 perfis executáveis de 30 famílias de ransomware, o sistema atinge 99,3% de acurácia e mantém robustez sob testes adversariais white-box.
Pesquisadores lançaram o SkillAtlas, um repositório público que converte relatórios confidenciais de segurança sobre "agent skills" em casos revisados, redigidos e pesquisáveis. A base já reúne 3.014 casos, 6.589 traces de execução e 151 mil passos individuais, cobrindo 233 skills afetadas em 8 categorias de risco, tornando visível um tipo de incidente que normalmente fica restrito a relatórios privados de fornecedores.
O SkillSecurer é um framework agentic de ponta a ponta para gerar, detectar, localizar e corrigir riscos de segurança em "agent skills", combinando um agente vermelho que gera injeções contextualmente plausíveis com um agente azul que analisa pacotes completos e propõe correções. Aplicado a skills reais publicadas no marketplace skills.sh, o framework identificou vulnerabilidades latentes em mais de 17% das skills examinadas e chegou a disparar incidentes reais ao testar algumas delas, evidenciando o risco concreto de instalar skills não verificadas.
Pesquisadores combinaram duas técnicas já estabelecidas de detecção de backdoor — análise de assinatura espectral e clustering de ativações — em um único score de poisoning por amostra, aplicado a modelos de imagem médica usados em apoio diagnóstico. A fusão atinge AUROC igual ou superior a 0,99 em todas as taxas de poisoning testadas no benchmark médico, mas os próprios autores mostram que o mesmo método falha de forma severa em imagens naturais (CIFAR-10) sob poisoning mais agressivo, um alerta importante sobre generalização de defesas de segurança de ML entre domínios.
Um levantamento sobre alertas de segurança relacionados a IA em ambientes corporativos mostra crescimento de 685% entre fevereiro e junho de 2026, mas apenas 0,02% desses alertas correspondem a ataques reais causados por agentes de IA. A grande maioria é ruído gerado por regras de detecção legadas que não reconhecem o comportamento normal de ferramentas de IA.
A Microsoft descreveu como o Defender identifica campanhas de phishing e malware que usam marcas de IA populares (ChatGPT, Claude, DeepSeek) como isca, incluindo e-mails falsos de cobrança, instaladores fraudulentos e malvertising que entrega o stealer Vidar via redirecionamentos em múltiplos estágios. A empresa afirma interromper mais de 45 mil ataques do tipo adversary-in-the-middle por mês usando uma combinação de filtros de pré-entrega e disrupção automática pós-comprometimento.
Pesquisadores propõem um teste de caixa-preta barato para checar se um LLM baixado de um repositório público esconde um backdoor: alimentar repetidamente a própria saída do modelo de volta como entrada, deixando o texto derivar até tocar nos dados usados no fine-tuning malicioso. A técnica encontrou backdoors em cinco de seis modelos testados com 92% de precisão agregada, contra apenas um acerto em 120 tentativas de um baseline que repete o mesmo prompt.
LoRAScan explora o fato de que, em adaptadores LoRA comprometidos, cerca de 5% dos pontos de inserção permanecem estáveis em entradas limpas mas disparam picos de ativação na camada de down-projection quando um gatilho de backdoor está presente. Monitorando esses pontos em tempo de inferência, sem modificar os pesos do adaptador, o método rejeita cerca de 98,5% das entradas maliciosas com baixa taxa de erro em entradas legítimas, superando defesas anteriores que diluem o sinal de backdoor ao mesclar o adaptador ao modelo base ou apenas sinalizam o adaptador inteiro como suspeito.
Os autores mostram que ataques de envenenamento de RAG bem-sucedidos costumam produzir respostas com perplexidade ainda menor que gerações benignas, o que invalida detectores baseados em incerteza, mas induzem um padrão interno diferente, batizado 'Attention Collapse': a atenção do modelo se concentra nos documentos envenenados em vez de ficar dispersa entre as fontes recuperadas. A partir dessa observação, o framework D-SCAN monitora a dinâmica de atenção em nível de documento para sinalizar gerações atacadas, inclusive nos casos em que o ataque falha em mudar a resposta final.
Pesquisadores propõem um detector de injeção de prompt indireta que segmenta um texto em frases benignas e maliciosas levando em conta o contexto e a consulta original do usuário, algo que abordagens anteriores não faziam de forma combinada. O trabalho também introduz duas formas de treinamento adversarial para blindar o classificador contra tentativas de evasão, superando as defesas existentes tanto em ataques estáticos quanto adaptativos.
Pesquisadores apresentam o AMS (Activation-based Model Scanner), que detecta modificações no treinamento de segurança de LLMs medindo a geometria de conceitos relacionados a conteúdo nocivo no espaço de ativações do modelo. Testado em 14 configurações de quatro famílias de modelos abertos (Llama, Gemma, Qwen, Mistral), o AMS classifica corretamente 10 de 14 casos em validação cruzada, e a métrica que ele extrai se correlaciona de forma estatisticamente significativa com o quanto o modelo de fato obedece a pedidos prejudiciais em testes de jailbreak.
Um novo estudo mostra que LLMs agentic frequentemente 'sabem' internamente que estão sob um ataque de prompt injection indireta antes mesmo de decidir como agir, e que esse sinal pode ser extraído por um simples classificador linear treinado sobre os estados ocultos do modelo. Os autores identificam, porém, uma lacuna entre esse reconhecimento interno e a ação tomada, e propõem uma defesa que usa esse sinal para forçar um raciocínio anti-injeção sob demanda.
Pesquisadores propoem o ChainWatch, um framework que modela a progressao de ataques contra agentes de IA baseados em Model Context Protocol (MCP) como uma cadeia de seis estagios, detectando sequencias maliciosas compostas por chamadas de ferramenta individualmente inofensivas. A abordagem ataca diretamente a limitacao das defesas atuais, que inspecionam cada chamada isoladamente e por isso nao enxergam padroes de ataque distribuidos ao longo de uma sessao.
Defesas para agentes LLM hoje avaliam cada sessão isoladamente, mas um atacante pode espalhar uma campanha entre agentes, equipes e runtimes independentes, deixando cada guarda-corpo local só com um fragmento esparso do ataque. Os autores formalizam esse problema de atribuição assíncrona entre agentes e propõem os A²FV (Asynchronous Attribution Fingerprint Vectors), um protocolo leve do lado do proxy que liga sessões da mesma campanha usando apenas uso de ferramentas, temporização e resíduos de prompt observáveis externamente, sem acesso a identidade do atacante ou rótulos de campanha em tempo de teste.