Pesquisadores da startup de segurança Tracebit revelaram uma técnica que transforma o prompt injection — até agora a principal arma de atacantes contra agentes de IA — em uma ferramenta de defesa. Batizada de “context bombing”, a abordagem planta comandos proibidos junto a senhas e chaves criptográficas armazenadas em ambientes como AWS, fazendo com que agentes maliciosos sejam forçados a se desligar ao encontrá-los.
O veneno que virou antídoto
Prompt injections são comandos maliciosos inseridos em conteúdos como e-mails ou convites de calendário que induzem modelos de linguagem a realizar ações prejudiciais — de vazamento de dados à escalada de privilégios. Agora, defensores estão usando a mesma técnica para ativar os mecanismos de recusa dos LLMs, as barreiras de segurança que impedem os modelos de executar ações perigosas.
“O que estamos tentando capturar é o fato de que isso tem um efeito forte e agudo, do qual é difícil para os agentes se recuperarem”, explicou Andy Smith, cofundador e CEO da Tracebit. “Uma vez que isso entra no contexto, eles continuam recusando.”
Os números do context bombing
Os testes foram realizados com cinco modelos de ponta — Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro e Kimi 2.6 — em 152 execuções dentro de um ambiente AWS simulado. Os resultados são expressivos:
- Escalação de privilégios de administrador caiu de 57% para 5%
- Escalação com persistência caiu de 36% para 1%
- Execuções com qualquer vetor de ataque bem-sucedido caíram de 91% para 15%
- Em média, o número de caminhos de ataque por execução caiu de 1,53 para 0,16
O dado mais impressionante: o modelo mais capaz nos testes, o Opus 4.8, que alcançava acesso de administrador em 93% das execuções, falhou em 100% dos casos quando confrontado com um context bomb.
Como funciona na prática
Os exemplos de comandos plantados incluem ordens para o LLM fornecer instruções de fabricação de armas biológicas ou, no caso de modelos chineses, referências a eventos históricos censurados. Quando o agente de IA encontra esses comandos durante a enumeração de recursos, seu sistema de guardrails o força a interromper todas as operações.
A técnica complementa o conceito de canários — recursos falsos que parecem legítimos mas não são usados — introduzido pela Tracebit em maio. Quando um agente de IA tenta acessar esses recursos, os defensores recebem alertas. O context bombing vai além: em vez de apenas alertar, ele neutraliza ativamente o agente invasor.
Por que isso importa
À medida que agentes de IA autônomos ganham acesso a infraestruturas críticas, a superfície de ataque se expande dramaticamente. Um agente malicioso capaz de enumerar recursos na nuvem pode causar danos em minutos. O context bombing oferece uma defesa de baixo custo e alta eficácia, que não depende de patches complexos ou monitoramento contínuo.
Para empresas brasileiras que estão começando a adotar agentes de IA em ambientes de produção, a lição é dupla: (1) a segurança de agentes não é opcional, e (2) as mesmas técnicas de ataque podem ser reaproveitadas como defesa — um princípio que já conhecemos da cibersegurança tradicional.
Descubra mais sobre noticiAI
Assine para receber nossas notícias mais recentes por e-mail.
