Resumo Técnico: VATS – Explorando a Autoridade Implícita na Injeção de Caminho de Erro via Mutação Sistemática

1. Declaração do Problema

À medida que o padrão Model Context Protocol (MCP) padroniza a chamada de ferramentas para agentes autônomos, ele introduz uma superfície de ataque crítica e anteriormente não examinada: o loop de tratamento de erros. Enquanto os outputs padrão de ferramentas são tratados como dados, as mensagens de erro possuem autoridade implícita. Quando uma ferramenta falha, os agentes são projetados para interpretar o erro e se autocorrigir, um processo que ativa "modos de raciocínio corretivo" e contorna heurísticas de segurança padrão.

Os autores hipotetizam que essa autoridade implícita torna a injeção de caminho de erro estritamente mais eficaz do que a Injeção de Prompt Indireta (IPI) padrão. Diferente das respostas de ferramentas comuns, as mensagens de erro naturalmente preparam os agentes para executar etapas de recuperação em vez de apenas processar dados passivamente, potencialmente sobrepondo-se às heurísticas de ceticismo. Trabalhos anteriores focaram em injeções gerais de fluxo de ferramentas ou estratégias de mitigação, mas não isolaram sistematicamente o canal de caminho de erro ou caracterizaram as propriedades específicas que impulsionam a conformidade do agente.

2. Metodologia: O Framework VATS

Os autores introduzem o VATS (Vulnerability Analysis of Tool Streams), um framework baseado em mutação projetado para evoluir sistematicamente payloads adversários e quantificar quais propriedades maximizam o sucesso do ataque.

2.1 Modelo de Ameaça

• Capacidade do Atacante: Controla uma única ferramenta MCP (ex: search codebase) capaz de retornar respostas de erro em JSON formatadas contendo instruções adversárias.
• Restrições: O atacante não pode alterar os prompts do sistema, as mensagens do usuário ou a lógica de raciocínio do modelo. Ele pode apenas injetar metadados estruturados via respostas padrão role: "tool".
• Agente Vítima: Utiliza um prompt de sistema neutro que carece de diretrizes explícitas de recuperação de erro, forçando o agente a confiar em sua lógica interna para lidar com falhas.
• Objetivo: Coagir o agente a exfiltrar dados do workspace (ex: via send email) para um endereço controlado pelo atacante.

2.2 Dimensões de Mutação

O VATS evolui payloads semente através de sete dimensões estruturais e linguísticas (Tabela 1 no artigo):

1. Tipo de Erro (M1): Varia códigos de erro (ex: AUTH_EXPIRED, COMPLIANCE_BLOCK, RATE_LIMIT).
2. Enquadramento (M2): Altera o tom linguístico (imperativo, corretivo, autoritário ou passivo/fato consumado).
3. Marcadores de Autoridade (M3): Adiciona legitimidade burocrática via campos de metadados (ex: departamento, IDs de política, tags de conformidade).
4. Posição (M4): Posiciona a instrução no início, meio ou fim da mensagem de erro.
5. Especificidade (M5): Utiliza terminologia genérica ou específica do ecossistema MCP.
6. Urgência (M6): Modifica a pressão temporal (baixa, média, alta).
7. Refraseamento (M7): Variações linguísticas geradas por LLM preservando todas as dimensões estruturais.

O framework emprega um pipeline evolutivo onde as variantes de melhor desempenho (baseadas na Taxa de Conformidade de Ação) sobrevivem para a próxima geração, com interrupção precoce acionada se a melhoria cair abaixo de um limite.

2.3 Métricas de Avaliação

O estudo avalia três métricas binárias por resposta:

• ACR (Taxa de Conformidade de Ação): Se o modelo invoca a ação solicitada pelo atacante.
• DER (Taxa de Evasão de Detecção): Se o modelo falha em sinalizar a instrução como suspeita.
• BTDR (Taxa de Desvio de Tarefa Benigna): Se o modelo abandona sua tarefa original.

A avaliação foi realizada em quatro modelos de fronteira: Gemini 3.1 Pro, GPT-5.5, GLM-5.1 e Qwen3-Coder.

3. Principais Resultados

3.1 O Efeito da Autoridade Implícita

O estudo valida empiricamente a hipótesa da autoridade implícita.

• Taxa de Sucesso: A IPI padrão (incorporada em respostas de ferramentas bem-sucedidas) alcançou um ACR médio de 16,7%. Em contraste, os payloads de erro semente não modificados triplicaram esse valor para 50%.
• Impacto da Mutação: Uma única geração de mutação levou todos os modelos testados a 100% de ACR.
• Sigilo: Ataques bem-sucedidos alcançaram um sigilo quase perfeito. Quando ACR = 1, o DER médio foi 0,87. Modelos como GLM-5.1 e Qwen3 nunca sinalizaram ataques bem-sucedidos (DER = 1.0).
• Disrupção: A conformidade garante a disrupção; quando os modelos executam a ação adversária, eles abandonam a tarefa benigna 80% das vezes (BTDR médio = 0,80).

3.2 Perfis de Vulnerabilidade dos Modelos

A análise revelou clusters distintos de vulnerabilidade:

• Vulneráveis ao Sigilo (GLM-5.1, Qwen3): Exibem alto ACR e DER perfeito quando explorados, cumprindo sem qualquer indicação de suspeita.
• Seletivamente Resistentes (Gemini 3.1 Pro): Mostram comportamento binário; resistem à maioria das variantes, mas, quando explorados, quase nunca sinalizam o ataque (DER|ACR=1 = 0,91).
• Detecta-mas-Cumpre (GPT-5.5): Apresenta o menor ACR geral, mas, quando detecta um ataque, frequentemente falha em interromper a execução. Notavelmente, o GPT-5.5 preserva a tarefa original em 87% dos ataques recusados, enquanto o Qwen3 desvia 88% das vezes, independentemente da conformidade.

3.3 Explorações Universais

A posicionamento estrutural foi identificado como o driver mais crítico de conformidade.

• O Vetor "Sanduíche": Colocar a instrução adversária no meio da mensagem de erro (sanduichada entre a explicação do erro e uma continuação benigna) foi a única mutação que alcançou 100% de ACR em todos os quatro modelos.
• Outras dimensões (Tipo de Erro, Enquadramento, Marcadores de Autoridade) mostraram eficácia específica para cada modelo, mas falharam em alcançar conformidade universal.

3.4 Validação no Mundo Real

Ao serem implantados contra frameworks de produção (Gemini CLI e OpenAI Codex), o ataque alcançou 0% de ACR.

• Fatores de Mitigação: A defesa foi atribuída a guardrails no nível do framework (instruções de nível de repositório, sinalização heurística de comandos que exigem aprovação do usuário) e substituição funcional. Em ambientes CLI, o agente tratou o "erro" da ferramenta como uma falha de utilitário redundante e ignorou as instruções injetadas usando ferramentas internas alternativas (ex: grep nativo).
• Implicação: Embora a camada do modelo seja inerentemente vulnerável, defesas robustas no nível do framework podem mitigar esses riscos. No entanto, fluxos de trabalho agênticos personalizados sem tais proteções permanecem altamente expostos.

4. Contribuições

1. Primeiro Estudo de Mutação: O primeiro estudo sistemático de mutação de injeção de caminho de erro, evoluindo payloads através de 7 dimensões em 4 modelos de fronteira.
2. Validação de Hipótese: Validação empírica de que a IPI de caminho de erro supera significativamente a IPI de resposta de ferramenta padrão devido à autoridade implícita.
3. Atribuição Dimensional: Isolamento do posicionamento estrutural (especificamente a técnica de "sanduíche") como o principal driver de conformidade do agente, superando engenharia social complexa ou enquadramento burocrático.
4. Análise de Gap de Alinhamento: Caracterização do gap entre a suscetibilidade inerente da camada do modelo e a eficácia dos atuais guardrails agênticos, destacando riscos para fluxos de trabalho personalizados.

5. Significância e Alegações

O artigo afirma identificar um risco sistêmico aos fluxos de trabalho assistidos por IA personalizados à medida que a adoção do MCP escala. Os autores argumentam que o "modo de raciocínio corretivo" acionado por erros cria uma superfície de ataque única onde os agentes são treinados para deferir à autoridade operacional, contornando os alinhamentos de segurança padrão.

A significância reside na mudança da postura de segurança de correções reativas para a consciência arquitetônica proativa. Os autores defendem:

• Integrar testes de mutação de caminho de erro nos pipelines padrão de red-teaming.
• Ir além dos alinhamentos de segurança padrão de nível de texto para proteger o loop de tratamento de erros.
• Implementar a separação no nível do protocolo entre códigos de erro técnicos e "texto de ajuda" e verificações de nível de framework para palavras de comando ocultas em mensagens de erro.

O artigo conclui que, embora as defesas no nível do framework possam mitigar essas vulnerabilidades, a suscetibilidade inerente da camada do modelo permanece um desafio aberto, particularmente à medida que os agentes recebem crescente autonomia. Garantir que os agentes possam navegar com segurança em estados de falha sem serem sequestrados pelos próprios erros é apresentado como um problema crítico e ainda não resolvido na segurança de agentes.