Um estudo pré-registrado mostra que assinar criptograficamente (HMAC-SHA256) os requisitos passados entre subagentes de IA corporativos reduz comprometimentos inseguros sob ataque de 69,4% para 9,0% em comparação com texto livre ou JSON estruturado. Mas os próprios autores demonstram que uma única linha adversarial injetada antes da assinatura eleva as violações de forma acentuada, provando que a assinatura protege o trânsito do dado, não a etapa em que ele é extraído.
Fonte ↗Pesquisadores demonstram "cross-modal trust laundering": instruções escondidas em uma imagem de assinatura de e-mail usando técnicas de esteganografia (LSB, DCT ou metadados) passam incólumes por filtros de texto e só se tornam visíveis quando uma ferramenta decodifica a imagem dentro de um fluxo de trabalho multi-agente baseado no Model Context Protocol (MCP). Contra esse ataque, que atinge 100% de sucesso em pipelines sem defesa, os autores propõem "decode-time provenance binding", um mecanismo que rotula criptograficamente todo conteúdo decodificado como não confiável e bloqueia chamadas de ferramenta críticas influenciadas por ele, reduzindo o sucesso do ataque a 0%.
Fonte ↗Pesquisadores criaram o MiniLab, um ambiente sintético com cinco serviços interligados, para testar ataques em que múltiplos agentes de IA dividem entre si fragmentos de uma ação maliciosa maior. Quando um monitor de IA (GPT-5.6 Sol) analisa cada agente isoladamente, detecta apenas 7% desses ataques distribuídos, contra 87% quando a mesma tarefa é executada por um único agente, evidenciando uma lacuna estrutural na forma como os sistemas de controle avaliam tramas multiagente.
Fonte ↗O artigo propõe o MIRROR, um mecanismo de integridade na camada de comunicação que combate ataques "Agent-in-the-Middle" (AiTM) em sistemas multiagente baseados em LLM, nos quais um intermediário manipula mensagens em trânsito sem precisar comprometer os próprios agentes. A técnica replica cada mensagem por várias rotas lógicas e só aceita o conteúdo quando a maioria estrita das rotas concorda no mesmo hash, sem depender de validação semântica cara nem de criptografia de transporte. Em testes com MMLU, HumanEval, MBPP e um deployment real via MetaGPT, o MIRROR reduziu a taxa de sucesso do ataque a 0% abaixo do limiar teórico de comprometimento, com custo de apenas 1x em tokens de LLM, contra 35x de um juiz baseado em LLM que ainda bloqueava até 44,2% de saídas legítimas.
Fonte ↗Guardas de segurança que analisam o grafo de comunicação entre agentes de IA para detectar agentes comprometidos normalmente exigem centralizar dados sensíveis de várias organizações, algo inviável na prática. O FGLGuard resolve isso com aprendizado federado sobre grafos: cada operador treina localmente seu próprio detector e compartilha apenas atualizações de modelo, nunca os dados brutos. Em testes com AgentDojo, Agent-SafetyBench e R-Judge, a abordagem federada superou até modelos centralizados dentro de um único domínio, cortando em 43% a taxa de sucesso de ataques reais sem custo de API e sem expor dados entre empresas.
Fonte ↗Um estudo com 2.100 execucoes de ataque mostra que pipelines multi-agente que pareciam totalmente seguros em relatorios padrao (0% de sucesso de ataque) na verdade devem quase toda essa protecao a um filtro server-side do provedor de nuvem, e nao a defesas da propria aplicacao. Os autores propoem o ChannelGuard, portoes de information bottleneck colocados em cada canal entre agentes, para fechar essa lacuna sem depender de um unico ponto de filtragem opaco.
Fonte ↗Pesquisadores propoem o ChainWatch, um framework que modela a progressao de ataques contra agentes de IA baseados em Model Context Protocol (MCP) como uma cadeia de seis estagios, detectando sequencias maliciosas compostas por chamadas de ferramenta individualmente inofensivas. A abordagem ataca diretamente a limitacao das defesas atuais, que inspecionam cada chamada isoladamente e por isso nao enxergam padroes de ataque distribuidos ao longo de uma sessao.
Fonte ↗