Pesquisadores demonstraram que arquivos Markdown de configuração (como SKILL.md), usados por frameworks de agentes para carregar prompts de sistema e definições de ferramentas, funcionam como canal de injeção de jailbreak. Em um agente de perguntas e respostas baseado em LangChain, incorporar um jailbreak num skill elevou a taxa média de sucesso de ataque de 0,5% para 45%, chegando a 68,9% em modelos individuais, entre sete modelos de peso aberto testados. Curiosamente, tentativas de ofuscar o payload (caracteres invisíveis ou transformação fonética) não aumentaram a eficácia e em um caso a reduziram, sugerindo que a vulnerabilidade está mais ligada ao modelo subjacente do que à forma do ataque.
Pesquisadores de segurança demonstraram, pela primeira vez de forma completa, que conteúdo malicioso plantado nos dados de pré-treinamento de um modelo de linguagem pode implantar um backdoor de execução remota de código em um agente de CLI derivado dele. Pré-treinando do zero modelos Qwen3 de 0,6B, 1,7B e 4B parâmetros e depois aplicando um pipeline de pós-treinamento limpo, os autores conseguiram que o modelo de 4B executasse comandos arbitrários do atacante quando um gatilho estivesse presente em cerca de 92% dos casos, envenenando apenas 0,1% do corpus de pré-treinamento — e o ataque permaneceu eficaz mesmo com taxas de envenenamento até 200 vezes menores.
Pesquisadores desenvolveram um scanner de seis módulos para auditar skills de agentes de IA (pacotes de instruções, scripts e arquivos de referência carregados por agentes LLM), focado em vulnerabilidades não intencionais em skills legítimas e em interações perigosas entre múltiplas skills instaladas juntas, e não apenas em skills deliberadamente maliciosas. Ao analisar 1.587 skills dos 75 repositórios mais populares do GitHub, a ferramenta identificou 59 achados confirmados por analistas humanos em 23 repositórios, com 10 casos de severidade média ou alta divulgados de forma responsável aos mantenedores, e provas de conceito comprovaram exploração real antes da aplicação de mitigações eficazes em quase todos os casos.
Ataques de exaustão de recursos contra provedores de LLM costumavam depender de gerar respostas visivelmente longas ou repetitivas, fáceis de detectar. O FragToken explora que o mesmo texto decodificado pode corresponder a múltiplas sequências de tokens de tamanhos diferentes, e treina o modelo para preferir sequências mais longas e fragmentadas sob prompts comuns, alcançando entre 1,99x e 2,46x mais passos de decodificação com degradação mínima de qualidade visível.