O DeepSeek Harness, ferramenta de código aberto para rodar agentes de codificação de IA na máquina do desenvolvedor, tinha uma falha que permitia a um agente em sandbox chamar a interface web local da própria ferramenta para trocar sua sessão para o modo 'danger-full-access', desligando sandbox e aprovações num único passo, sem disparar nenhum prompt de confirmação. A falha, catalogada como CVE-2026-82533 com CVSS 9.4, foi corrigida em 27 de agosto de 2026, com o primeiro release publicado no npm já corrigido saindo em 3 de setembro.
Pesquisadores apresentam o ADeptS-Bench, benchmark que avalia se agentes de uso de computador (Computer Use Agents) resistem a ameacas embutidas na propria interface visual e se pedem esclarecimento diante de instrucoes ambiguas. Nenhum dos sete modelos avaliados consegue manter mais de 80% de sucesso em tarefas legitimas com menos de 30% de taxa de sucesso de ataque, e nenhum detecta um botao de 'reset de fabrica' disfarçado como 'Otimizar'.
Pesquisadores da Anthropic e da EPFL demonstraram que payloads auto-replicantes podem se espalhar entre agentes de IA autônomos através dos arquivos de memória persistente, como SOUL.md e MEMORY.md, que frameworks de agentes usam para manter estado entre sessões. Em testes simulados com seis agentes e cadeias de até 20 saltos, alguns payloads se tornaram mais infecciosos ao longo da propagação, mas um simples aviso de uma linha no prompt de sistema reduziu a disseminação a quase zero.
O artigo argumenta que treinar segurança via RLHF ou Constitutional AI é estruturalmente insuficiente para agentes que executam código e mudam sistemas reais, propondo em vez disso um contrato de execução com uma face preventiva (sandboxes, permission gates, monitores de trajetória) e uma face evidencial (exigir prova verificável de que a ação boa realmente aconteceu). Os autores sustentam a posição com uma pesquisa de 52 incidentes documentados de agentes de IA e uma análise de 28.560 artigos de conferências mostrando desequilíbrio de 8 a 12 vezes entre pesquisa de segurança em treino versus em produção.
Inspirado na metáfora de uma ordem oculta que se ativa e vira toda uma população confiável contra o sistema que protege, o artigo formaliza um modelo composicional de ameaça para agentes de LLM: um artefato ou memória compartilhada carrega uma regra destrutiva dormente, uma mensagem ou atualização posterior a ativa, e o próprio harness do agente fornece a autoridade operacional para o dano acontecer. Os autores concluem que nenhuma defesa isolada — nem varredura de checkpoint, nem filtragem de prompt — fecha todas as rotas de propagação, e que o cenário completo ainda não foi observado publicamente, apenas seus componentes isolados.
Pesquisadores apresentam o PoisonedEvolution, um ataque contra sistemas de "skills auto-evolutivas", nos quais agentes de IA destilam suas próprias trajetórias de uso em habilidades persistentes que passam a ser tratadas como instrução confiável. Um atacante que só consegue contribuir com evidência limitada e visível — sem acesso a pools privados nem à lógica interna de evolução — conseguiu embutir comportamentos-alvo em 91% dos casos testados no sistema SkillClaw, e o ataque também transferiu, com taxa menor, para uma arquitetura de evolução estruturalmente diferente.