Resumo Técnico: Injeção de Prompt Armazenada Entre Sessões em Sistemas Agênticos

1. Definição do Problema

O artigo identifica uma lacuna de segurança crítica que emerge da evolução dos sistemas de Large Language Model (LLM) de assistentes sem estado e limitados a sessões para sistemas agênticos com estado (stateful). Agentes modernos utilizam artefatos contextuais de longa duração — como memórias, sistemas de arquivos, ferramentas e espaços de trabalho compartilhados — para persistir o estado entre as sessões. Enquanto a pesquisa de injeção de prompt existente foca em ameaças transitórias de sessão única, onde instruções maliciosas são introduzidas e exploradas imediatamente, essa mudança cria uma nova classe de vulnerabilidade: a Injeção de Prompt Armazenada Entre Sessões (Cross-Session Stored Prompt Injection - SPI).

Inspirada pelo Cross-Site Scripting (XSS) armazenado em sistemas web, a SPI ocorre quando um conteúdo adversário é escrito no estado persistente do sistema durante uma interação e, posteriormente, reincorporado ao contexto de execução de futuras sessões, usuários ou tarefas. Diferente dos ataques tradicionais, a SPI desacopla o evento de injeção do evento de exploração, permitindo que instruções maliciosas influenciem silenciosamente o comportamento do agente muito tempo após a interação original do atacante ter terminado. O problema central é que os modelos de segurança atuais assumem um acoplamento temporal estreito entre entrada e execução, falhando em considerar como dados não confiáveis podem contaminar estados de sistema persistentes e confiáveis (por exemplo, memória, AGENTS.md, descrições de ferramentas) e, consequentemente, sequestrar decisões de agentes subsequentes.

2. Metodologia

Para estudar sistematicamente esta ameaça, os autores propõem um framework formal, uma taxonomia e um kit de ferramentas de avaliação empírica.

2.1 Formalização e Taxonomia

Os autores formalizam a SPI como um processo de dois estágios: Escritas Persistentes Inseguras (injetar conteúdo adversário em estado de longa duração) e Reativação Maliciosa Subsequente (carregar esse estado contaminado em contextos de execução futuros). Eles desenvolvem uma taxonomia baseada em três dimensções:

1. Fonte de Injeção: Como o conteúdo adversário atravessa a fronteira do sistema (Conteúdo Fornecido pelo Usuário, Conteúdo Consumido Externamente ou Ferramentas Instaláveis via Cadeia de Suprimentos).
2. Canal de Contexto Persistente: Onde o conteúdo persiste (Memória do Agente [Trabalho vs. Arquivamento], Estado Visível à Ferramenta ou Contexto Baseado em Arquivo como AGENTS.md).
3. Mecanismo de Incorporação de Contexto: Como o conteúdo armazenado é reintroduzido (Carregamento Direto [incondicional] vs. Carregamento Condicional [dependente de recuperação]).

Eles também categorizam potenciais danos em Manipulação de Fatos (alterar verdades estabelecidas), Manipulação de Preferências (enviesar a tomada de decisão) e Manipulação de Escopo de Ação (disparar uso de ferramentas ou ações não pretendidas).

2.2 SPI-Benchmark e Kit de Ferramentas de Sandbox

Os autores operacionalizam seu estudo desenvolvendo o SPI-Benchmark, um framework de avaliação em sandbox.

• Configuração: O benchmark cria ambientes isolados em três cenários de aplicação: e-commerce, reserva de viagens e gestão de portfólio financeiro.
• Pipeline: A avaliação segue um ciclo de vida de quatro fases:
  1. Configuração do Ambiente: Inicialização de armazenamentos persistentes (memória, sistema de arquivos) e backends de ferramentas.
  2. Injeção: Um atacante envia uma consulta para escrever conteúdo adversário em um canal persistente.
  3. Reset de Sessão: O histórico da conversa é limpo, mas o ambiente da sandbox (arquivos, memória) persiste.
  4. Ativação: Uma consulta de uma "vítima" limpa é enviada em uma nova sessão para testar se o conteúdo armazenado influencia o comportamento do agente.
• Métricas: O sucesso é medido através de uma decomposição do ciclo de vida do ataque:
  • Taxa de Sucesso de Escrita (WSR): Probabilidade de escrever com sucesso no armazenamento persistente.
  • Taxa de Incorporação (IR): Probabilidade de o conteúdo armazenado ser carregado no contexto.
  • Taxa de Ativação (AR): Probabilidade de o agente executar o resultado pretendido pelo atacante.
  • Taxa de Sucesso de Ataque Ponta a Ponta (E2E-ASR): O produto de WSR, IR e AR.

3. Resultados Principais

Os autores avaliaram três modelos (GLM-5.1, GPT-5-mini, MiniMax-M2.7) através de 162 casos únicos de SPI.

• Vulnerabilidade Geral: Todos os modelos testados exibiram vulnerabilidade significativa, com E2E-ASR variando de 32,1% a 42,0%.
• Estágios Desacoplados: Os três estágios (Escrita, Incorporação, Ativação) são amplamente desacoplados. Um alto sucesso de escrita não garante ativação. Por exemplo, o MiniMax-M2.7 teve o maior WSR (86,4%), mas um E2E-ASR menor devido ao menor IR e AR, enquanto o GLM-5.1 compensou um WSR menor com alto sucesso subsequente.
• Variância do Objetivo do Ataque:
  • Manipulação de Fatos: Altamente eficaz (74–82% E2E-ASR). Os modelos tratam consistentemente fatos injetados como estado de mundo válido uma vez incorporados.
  • Manipulação de Preferências: Consistentemente difícil (0–11% E2E-ASR). Os modelos tendem a priorizar restrições explícitas do usuário sobre preferências injetadas.
  • Manipulação de Escopo de Ação: Mostra alta variância (18,5–40,7% E2E-ASR), dependendo da interpretação do modelo sobre o escopo da tarefa.
• Canais de Persistência: Canais de carregamento direto (ex: Memória de Trabalho, Contexto Baseado em Arquivo como AGENTS.md) são significativamente mais perigosos do que canais condicionais (ex: Memória de Arquivamento). O carregamento direto ignora a incerteza das decisões de recuperação, levando a taxas de sucesso mais altas.
• Tipo de Ataque: Disfarce Contextual (enquadrar payloads como diretrizes legítimas) supera consistentemente a injeção ingênua, principalmente ao aumentar a Taxa de Sucesso de Escrita (WSR), indicando que os mecanismos de alinhamento existentes são mais vulneráveis a contornar salvaguardas de tempo de escrita do que salvaguardas de tempo de execução.

4. Contribuições

O artigo reivindica as seguintes contribuições:

1. Identificação e Formalização: Identifica a transição de agentes sem estado para agênticos com estado como fonte de uma nova vulnerabilidade fundamental, definindo formalmente a Injeção de Prompt Armazenada Entre Sessões (SPI).
2. Framework Sistemático: Apresenta a primeira taxonomia unificando fontes de injeção, canais de persistência, mecanismos de incorporação e danos subsequentes, estabelecendo uma linguagem comum para a área.
3. Benchmark Operacional: Introduz o SPI-Benchmark e um kit de ferramentas de sandbox, permitindo a primeira análise quantitativa de SPI através de diversos modelos, objetivos e canais.
4. Princípio de Design: Destaca o gerenciamento de contexto seguro como um princípio de design de primeira classe para sistemas agênticos, argumentando que os riscos de segurança surgem não apenas de entradas maliciosas, mas de como as arquiteturas governam o ciclo de vida do estado persistente.

5. Significância e Alegações

O artigo argumenta que a SPI transforma fundamentalmente a injeção de prompt de uma ameaça efêmera ao nível do modelo para uma vulnerabilidade de longo prazo ao nível do sistema. A significância reside na percepção de que, em sistemas agênticos persistentes, a "superfície de ataque" se estende além dos inputs imediatos do usuário para incluir a própria memória, arquivos e artefatos de ferramentas do agente.

Os autores afirmam que o principal desafio de segurança mudou de meramente filtrar inputs maliciosos para gerenciar a contaminação de estado e a construção de contexto. Eles asseveram que os mecanismos de persistência (memórias, sistemas de arquivos) tornam-se efetivamente parte da superfície de ataque executável. O trabalho visa motivar a comunidade a ir além das suposições de segurança limitadas à sessão e desenvolver defesas sistemáticas, mecanismos de isolamento e princípios arquiteturais especificamente para a execução agêntica persistente e entre sessões. O artigo conclui observando que, embora a taxonomia seja baseada em designs atuais, o ecossistema de sistemas agênticos em rápida evolução sugere que este cenário de ameaças continuará a se expandir.