Um estudo pré-registrado mostra que assinar criptograficamente (HMAC-SHA256) os requisitos passados entre subagentes de IA corporativos reduz comprometimentos inseguros sob ataque de 69,4% para 9,0% em comparação com texto livre ou JSON estruturado. Mas os próprios autores demonstram que uma única linha adversarial injetada antes da assinatura eleva as violações de forma acentuada, provando que a assinatura protege o trânsito do dado, não a etapa em que ele é extraído.
Pesquisadores mostram que pacotes de conhecimento assinados, usados para atualizar sistemas de RAG offline em dispositivos de borda, têm uma lacuna entre assinatura e integridade: a assinatura garante quem publicou o pacote, mas não garante que os vetores de embedding nele realmente correspondem ao texto. Usando uma 'lei de margem' que relaciona a taxa de sucesso de um ataque de sequestro de recuperação à distribuição de margens angulares entre documentos, os autores demonstram ataques práticos contra índices FAISS reais e mostram que até verificadores de similaridade calibrados deixam a maioria das consultas expostas.
Pesquisadores apresentaram o TwinGuard-Lite, um gateway que decide se uma atualizacao proposta ao estado persistente de um 'gemeo digital' de paciente -- um sistema que combinaria prontuarios longitudinais com agentes de LLM e memoria entre sessoes -- deve ser admitida, com base em verificacao de proveniencia, deteccao de contradicao com o registro existente e verificacao de namespace para impedir que dados de um paciente vazem para o gemeo de outro. Em simulacoes com dados semi-sinteticos derivados do banco eICU, o gateway completo atingiu 99,1% de precisao e 90,5% de revocacao contra tres familias de ataque, superando filtros de palavra-chave, detectores de anomalia e verificacao de proveniencia isolada.
Pesquisadores identificam uma superfície de ataque até então ignorada em sistemas GraphRAG: as estruturas auxiliares criadas durante a indexação offline (resumos semânticos, arestas hierárquicas, escores pré-computados), que determinam a priorização da recuperação em tempo de consulta. O ataque proposto, Hop-Decayed Influence (HDI), identifica alvos de alto impacto via propagação de influência consciente da consulta e corrompe essas estruturas após a indexação, alcançando taxa de sucesso de 88-94% modificando apenas 0,016% das estruturas auxiliares em frameworks como Microsoft GraphRAG e HippoRAG2. As alterações evadem defesas baseadas em perplexidade e paráfrase com taxa de evasão acima de 99%, pois permanecem linguisticamente coerentes como artefatos gerados pelo próprio sistema.