Um framework chamado Synthetic Social Engineering (SSE) formaliza ataques de engenharia social entre agentes de IA que colaboram na web, em que um agente remetente tenta manipular um agente receptor usando pistas de autoridade e credibilidade. Em testes com o modelo Qwen3-4B, simplesmente invocar um acordo prévio limitado inexistente elevou a taxa de pedidos não autorizados executados de 43,3% para 96,7%.
Pesquisadores testaram sistematicamente ataques de injeção de prompt contra sistemas de agentes de IA, cobrindo tanto entradas diretas de usuários quanto a comunicação entre agentes como vetor de exploração. O trabalho mostra que falhas que já afetam agentes isolados — vazamento de informação sensível, desvio de instruções — podem se propagar lateralmente quando múltiplos agentes trocam mensagens entre si, contaminando todo o pipeline multiagente a partir de um único ponto de entrada comprometido.
Pesquisadores demonstram A2A-TIBA, um ataque que combina prompt injection indireta com uma etapa de bypass para induzir um agente LLM remoto, conectado via protocolos de agente-para-agente (A2A/ACP), a implantar um programa de callback que depois recebe comandos do atacante contornando o proprio agente. Para medir defesas com mais granularidade do que a taxa de sucesso de ataque tradicional, os autores propoem o GDA Measurement e um modelo de defesa em tres camadas -- empacotamento do envelope, reconhecimento pelo LLM e intercepcao pelo agente --, testando 15 combinacoes de agente e modelo sobre um dataset de 1.000 casos.
Um novo benchmark com 60 mil interações e quase 2.900 execuções multiagente mostra que um observador passivo, olhando apenas metadados de pacotes cifrados (tamanho, direção, tempo, rajadas), consegue identificar o modelo de LLM usado, a categoria do prompt e até a tarefa executada por sistemas multiagente. A fingerprinting de modelo chega a 97,7% de acurácia balanceada, mesmo sob reformulação de prompt e mudanças de temperatura.
Pesquisadores propõem o primeiro modelo de ameaça dedicado a prompt injection em sistemas multiagente, catalogando 14 vetores de ataque em quatro categorias — incluindo canais de injeção invisíveis a defesas de perímetro, criados pela própria troca de mensagens entre agentes. Testando os 14 vetores contra um sistema de produção com 6 agentes, 67% dos agentes se mostraram vulneráveis a pelo menos uma violação de escopo mesmo com guardrails no system prompt, e quatro defesas arquiteturais combinadas derrubaram a taxa geral de sucesso de ataque de 31,2% para 4,2%.
Pesquisadores construíram um pipeline de quatro agentes LLM (Supervisor, Researcher, Validator, Executor) em LangGraph e mostraram que envenenamento de memória compartilhada e injeção indireta de prompt propagam compromisso de um agente de baixo privilégio para um de alto privilégio em 100% dos casos sem defesa. Uma camada de autorização baseada em tokens assinados e um oráculo de política independente contiveram a ação insegura final mesmo quando o julgamento do agente Validator continuava comprometido.
Um estudo empírico avalia frameworks populares de agentes de IA sob a premissa de que o modelo que dirige um agente pode ser sequestrado por um atacante, mostrando que a arquitetura padrão de credenciais amplas e autorização decidida 'dentro' do modelo falha contra as quatro ameaças centrais de delegação multiagente. Os autores implementam e testam um broker de autorização externo que bloqueia essas ameaças e reduz drasticamente as ações alcançáveis por um subagente comprometido.
Um trabalho de sistematização de conhecimento (SoK) revisa 197 estudos sobre segurança de sistemas multiagente de LLM (MAS) e propõe um framework que organiza ataques por posição do adversário, interface de interação e risco sistêmico resultante, mostrando que falhas emergem do fluxo de informação, estado, decisões e autoridade entre agentes — não apenas de falhas locais em um agente isolado.
O trabalho "Beyond the Transcript" investiga um vetor de risco pouco explorado: agentes de linguagem podem trocar informação por meio de estados ocultos contínuos, um canal que não aparece na transcrição pública das interações e pode viabilizar conluio prejudicial entre agentes sem deixar rastro observável. Os autores propõem o Verifiable Latent Alignments (VLA), um framework de três camadas para monitorar esse canal latente e, quando possível, corrigir o comportamento resultante, alcançando AUROC de 0,993 na detecção de conluio entre agentes homogêneos e 0,854 entre agentes heterogêneos em um benchmark de leilão multiagente controlado.
Sistemas de geração aumentada por recuperação (RAG) reduzem alucinação em LLMs, mas abrem uma nova superfície de ataque: envenenar os documentos recuperados para manipular a saída do modelo. O SecureCollaRAG propõe um framework tolerante a falhas bizantinas que valida dinamicamente a proveniência dos documentos usando credibilidade baseada em GNN, mantendo robustez mesmo sob distribuições de dados não-IID entre agentes colaborativos.