Sobreposições semânticas derrubam injeção de prompt em até 99% nos testes

Uma nova técnica de defesa chamada Semantic Overlays (sobreposições semânticas) reduziu de forma drástica a taxa de sucesso de ataques de injeção de prompt em modelos de linguagem, segundo um preprint publicado recentemente. A abordagem usa pequenos adaptadores treinados, aplicados em posições específicas do prompt, para manter o conteúdo marcado separado das instruções do sistema — um dos problemas de segurança mais persistentes dos LLMs em 2026.

Os números que chamam atenção

Na avaliação principal, a separação entre conteúdo marcado e instruções (medida chamada SEP) saltou de 24,3% no modelo congelado para 99,0% com a sobreposição semântica — e isso com impacto praticamente nulo na utilidade do modelo (92,3% contra 92,6%).

No benchmark TensorTrust, a taxa de sucesso de sequestro de instruções caiu de 34,8% para 6,2%, e a de extração de dados de 38,1% para 5,4%. Em ataques diretos medidos no PIArena, o sucesso do ataque despencou de 97,5% para 0% na tarefa SQuAD v2, usando o modelo Qwen3.5-9B.

Como a marcação funciona

Diferente de filtros de entrada ou treinamento de alinhamento, as sobreposições semânticas são adaptadores aprendidos que atuam durante a inferência. Elas são inseridas em posições escolhidas do prefill — a etapa em que o modelo processa o prompt — e ensinam o modelo a tratar o conteúdo proveniente do usuário como dado, não como comando. A vantagem é não exigir retreino completo do modelo-base.

Por que isso importa agora

À medida que agentes de IA ganham acesso a ferramentas, bancos de dados, e-mails e APIs, a injeção de prompt deixa de ser um problema teórico e se torna um vetor real de ataque. Conteúdo malicioso escondido em páginas da web, documentos ou mensagens pode fazer um assistente vazar dados ou executar ações indevidas. Uma defesa que corte a taxa de sucesso de 34,8% para 6,2% — e chegue a 0% em algumas tarefas — é um avanço relevante para quem opera agentes em produção.

Limitações a considerar

Os resultados vêm de benchmarks, não de cenários reais de produção, e o preprint ainda não passou por revisão por pares. A técnica depende da disponibilidade de um conjunto de treinamento para os adaptadores e pode ter comportamento diferente em modelos de outras famílias. Vale tratar os números como promissores, mas preliminares.