Pesquisadores apresentam o ScrambleMark, um ataque de caixa-preta que evade a detecção de marcas d'água em áudio de fala sintética sem precisar removê-las, consultar o detector ou conhecer qual técnica de watermark foi usada. A técnica perturba a estrutura harmônica do áudio para quebrar a consistência que o detector espera encontrar, preservando a qualidade perceptual da fala. Testado contra três plataformas comerciais — Google SynthID, Resemble AI e TrustedAudio — o ataque atinge cerca de 97% de evasão, muito acima de ataques anteriores, e resiste a tentativas adaptativas de recuperação da marca d'água.
Pesquisadores identificaram uma fraqueza estrutural compartilhada por sete esquemas populares de watermarking de LLMs (incluindo KGW, GumbelSoft, DipMark, ITS e o SynthID do Google), que liga diretamente o score de deteccao do watermark a mudanca de probabilidade que ele introduz em cada token gerado. Explorando esse vinculo, um atacante com apenas acesso de API (sem chaves secretas ou pesos do modelo) consegue reduzir a taxa de deteccao do watermark para no maximo 0,05 em todos os cenarios testados, preservando a fluencia do texto. Os autores provam que o ataque e otimo e que a fraqueza e estrutural: qualquer watermark desenhado para maximizar poder estatistico de deteccao acaba criando a mesma estrutura explorável.
Pesquisadores da Redwood Research apresentam o Screwtape, um pipeline em que um LLM atacante edita transcricoes reais de agentes (Claude Code e Codex) para introduzir um dano especifico, como vazamento de chave de API, de forma que um monitor automatizado deixe de detectar a acao maliciosa. De 252 execucoes sobre 94 transcricoes, 35 ataques passaram por um verificador de consistencia e evadiram os monitores dos proprios autores; seis desses, confirmados por revisao humana, tambem evadiram um monitor mantido em sigilo por um desenvolvedor de ponta de IA ao qual os pesquisadores nao tinham acesso direto.
O SkillDRE é um framework de red teaming totalmente automatizado que evolui pacotes de “skills” de agentes — pacotes reutilizáveis de instruções, código e recursos — para que passem tanto por scanners de pré-execução quanto por defesas de runtime, mantendo a funcionalidade legítima da tarefa original. Em testes com quatro modelos-alvo no SkillsBench, o framework atinge 45,28% de taxa média de sucesso de ataque, superando a melhor linha de base em 40,3%, com as skills finais não gerando nenhum alerta do scanner.
A Anthropic revelou a disrupção do GTG-20006, um grupo patrocinado pelo estado russo associado à Midnight Blizzard (APT29/Cozy Bear), que usou agentes de IA para monitorar continuamente se seu malware era detectado por produtos de segurança e reescrevê-lo automaticamente sempre que uma assinatura o pegava. O grupo mirou autoridades de inteligência militar da Ucrânia e de governos europeus, distribuindo famílias de malware como PowerChrome e Shadow C2 via phishing, esquemas ClickFix e sequestro de DNS.
A Microsoft identificou uma campanha de phishing em massa que usa caracteres Unicode invisíveis do bloco de 'tags' (U+E0000–U+E007F) para fragmentar palavras-chave como 'funding' e driblar filtros anti-spam baseados em correspondência literal de texto. A mesma técnica, conhecida como ASCII/Unicode smuggling, já era usada para esconder instruções maliciosas em conteúdo lido por assistentes de IA (prompt injection), e agora aparece reaproveitada para fins opostos: em vez de injetar comandos, serve para quebrar a detecção de palavras sensíveis. A campanha, iniciada em fevereiro de 2026, chegou a 2,3 milhões de mensagens diárias enviadas por cerca de 148 domínios temáticos de finanças através da plataforma legítima ActiveCampaign.