Pesquisadores demonstram "cross-modal trust laundering": instruções escondidas em uma imagem de assinatura de e-mail usando técnicas de esteganografia (LSB, DCT ou metadados) passam incólumes por filtros de texto e só se tornam visíveis quando uma ferramenta decodifica a imagem dentro de um fluxo de trabalho multi-agente baseado no Model Context Protocol (MCP). Contra esse ataque, que atinge 100% de sucesso em pipelines sem defesa, os autores propõem "decode-time provenance binding", um mecanismo que rotula criptograficamente todo conteúdo decodificado como não confiável e bloqueia chamadas de ferramenta críticas influenciadas por ele, reduzindo o sucesso do ataque a 0%.
Uma revisão sistemática aceita na EMNLP 2026 mapeia 148 métodos de esteganografia linguística, 60 contramedidas de steganalysis e 23 métricas de avaliação, mostrando como LLMs mudaram o campo: de edição de texto-portador para geração pura via prompt, e de acesso caixa-branca a cenários caixa-preta. O levantamento é relevante porque LLMs tornam mais barato esconder mensagens dentro de texto aparentemente normal, com implicações tanto para comunicação encoberta maliciosa quanto para as defesas que tentam detectá-la.
Pesquisadores demonstram que uma única fase de envenenamento de dados pode implantar em um modelo de visão e linguagem (VLM) um backdoor programável, no qual o atacante escolhe em tempo de inferência — sem retreinar o modelo — qual legenda-alvo, nunca vista durante o envenenamento, deve ser produzida, e sintetiza sob demanda um gatilho visual furtivo correspondente. A técnica mantém alta taxa de sucesso mesmo contra defesas clássicas de backdoor e preserva a utilidade do modelo em entradas limpas, ampliando substancialmente a superfície de risco frente aos backdoors estáticos já conhecidos na literatura.
O estudo aprofunda ataques de esteganografia em que um LLM fine-tunado codifica secretamente informação do prompt na sua saída, propondo esquemas de 'baixa recuperabilidade' derivados do espaço de embeddings que dificultam a extração do segredo por terceiros. Como contrapartida defensiva, sondas lineares treinadas sobre ativações de camadas finais detectam a presença do segredo com até 33% mais precisão em modelos fine-tunados do que em modelos base.