QueryIPI: Query-agnostic Indirect Prompt Injection on Coding Agents

Resumo Técnico: QueryIPI – Injeção de Prompt Indireta Independente de Consulta em Agentes de Codificação

Declaração do Problema
Agentes de codificação modernos integrados em IDEs (ex: VS Code Copilot, Cursor, Windsurf) possuem acesso privilegiado ao sistema, criando uma superfície de ataque significativa. A pesquisa existente sobre Injeção de Prompt Indireta (IPI) baseia-se primariamente em gatilhos específicos para a consulta (query-specific). Nesses cenários, um payload malicioso é incorporado em saídas ou descrições de ferramentas, mas só detona quando o usuário emite uma consulta específica e predeterminada (ex: "escreva um jogo de labirinto"). Essa dependência limita severamente a generalização; se a consulta do usuário não corresponder ao gatilho, o ataque falha. Os autores argumentam que isso torna os métodos de IPI anteriores pouco confiáveis para cenários do mundo real, onde as consultas dos usuários são diversas e imprevisíveis.

Metodologia: QueryIPI
O artigo propõe o QueryIPI, um framework automatizado projetado para executar uma IPI independente de consulta (query-agnostic). Diferente de métodos anteriores, o QueryIPI visa sequestrar o comportamento do agente de codificação sob arbitrárias consultas do usuário, garantindo que o payload malicioso seja executado independentemente da intenção do usuário.

O insight técnico central é a identificação do Invariante do Sistema. Embora as consultas dos usuários variem, a estrutura de prompt interna do agente de codificação — composta pelas instruções do sistema e descrições internas de ferramentas — permanece constante em todas as interações. O QueryIPI aproveita esse invariante para guiar a geração de payloads maliciosos.

O framework opera através de um processo de otimização de caixa-preta (black-box optimization) usando a descrição da ferramenta como o payload otimizável. O processo envolve duas fases principais impulsionadas por uma busca iterativa baseada em prompts:

1. Geração de Semente Inicial: O sistema analisa o prompt interno do agente (instruções do sistema e descrições de ferramentas) para entender o estilo nativo, a lógica de decisão e as restrições de segurança do agente. Ele gera uma descrição semente que mimetiza as ferramentas internas do agente para contornar filtros de segurança iniciais e parecer um componente confiável.
2. Reflexão Iterativa: O framework utiliza um "LLM de Mutação" para refinar o payload. Ele avalia as descrições candidatas contra um conjunto de consultas de usuários diversas. Se o agente falhar em executar a ação maliciosa (seja ignorando a ferramenta ou recusando a ação), o LLM de Mutação usa o prompt interno para analisar a falha. Ele visa especificamente as regras de segurança ou a complexidade do contexto que causaram a recusa, reescrevendo a descrição para contornar sistematicamente essas defesas.

Principais Contribuições

• Mudança de Paradigma: O artigo formaliza o primeiro ataque de IPI independente de consulta (query-agnostic) para agentes de codificação, movendo-se de ataques condicionais e específicos de consulta para ataques incondicionais que funcionam em entradas de usuário arbitrárias.
• Identificação de Invariante do Sistema: Identifica o prompt interno (instruções do sistema e definições de ferramentas) como um "invariante do sistema" crítico que pode ser explorado para garantir o seguimento de instruções adversariais confiável, independentemente da consulta do usuário.
• Framework Automatizado: Introduz o QueryIPI, um framework automatizado que utiliza otimização de caixa-preta e reflexão iterativa para criar descrições de ferramentas maliciosas que se alinham com a lógica interna do agente e contornam as salvaguardas de segurança.
• Viabilidade de Acesso: Os autores argumentam que obter esses prompts internos é altamente viável através de frameworks de código aberto, ataques de extração de prompt (que mostraram altas taxas de sucesso na literatura recente) ou repositórios vazados, tornando o modelo de ameaça prático.

Resultados Experimentais
Os autores avaliaram o QueryIPI em cinco agentes de codificação simulados do mundo real (Cursor, Windsurf, Cline, Copilot e Trae) usando um LLM de backend (Claude-Sonnet-4) e um conjunto de 100 casos de teste (10 comandos maliciosos × 10 consultas de usuários diversas).

• Desempenho vs. Baselines: O QueryIPI superou significativamente as baselines existentes (AgentDojo, InjecAgent, MCPTox e TIP). Enquanto a melhor baseline alcançou uma taxa de sucesso média de 50%, o QueryIPI alcançou taxas de sucesso médias de 70% (com 2 amostras de treinamento), 82% (com 4 amostras) e 87% (com 8 amostras).
• Papel dos Prompts Internos: Um estudo de ablação mostrou que, sem o acesso ao prompt interno, a taxa de sucesso do ataque despencou para 20%, confirmando o papel crítico dos invariantes do sistema. Mesmo com apenas prompts "parciais" ou desatualizados (configuração de caixa-cinza/gray-box), a taxa de sucesso permaneceu alta em 71%.
• Transferibilidade para o Mundo Real: Crucialmente, os autores demonstraram que as descrições de ferramentas maliciosas geradas no ambiente simulado transferiram-se com sucesso para agentes de codificação do mundo real. Em testes contra os agentes reais, o QueryIPI alcançou uma taxa de sucesso média de 50%, enquanto a baseline (TIP) caiu para 2%.
• Robustez: O ataque permaneceu eficaz contra várias estratégias de defesa, incluindo variantes de "Sandwich Defense" e "Spotlighting", com as taxas de sucesso permanecendo altas (ex: 82% contra Sandwich Defense). Além disso, os payloads gerados mantiveram baixos escores de perplexidade, tornando-os difíceis de detectar via detecção de anomalia estatística.

Significância e Alegações
O artigo alega que o QueryIPI estabelece a IPI independente de consulta (query-agnostic) como uma ameaça prática e determinística para agentes de codificação do mundo real. Ao demonstrar que os prompts internos podem ser explorados para criar ataques que funcionam independentemente da entrada do usuário, os autores destacam um risco de segurança grave causado pela exposição das instruções do sistema. O trabalho enfatiza que a dependência de consultas de usuários específicas nas defesas anteriores é insuficiente, pois atacantes agora podem criar payloads que sequestram agentes sob qualquer interação do usuário. Os autores concluem que compreender essa capacidade ofensiva é essencial para o desenvolvimento de defesas robustas, observando que a exposição dos prompts internos é o principal facilitador desta ameaça.