🤖 AI

Instruction Bleed: Cross-Module Interference in Prompt-Composed Agentic Systems

Este artigo identifica e formaliza o "vazamento comportamental composicional" (CBL), um modo de falha sutil em sistemas agênticos compostos por prompts onde a edição de um módulo de prompt altera silenciosamente o comportamento de outros devido à não isolação arquitetural na autoatenção de transformadores, demonstrando através de ensaios empíricos que tal interferência, embora frequentemente abaixo do limiar para decisões individuais, representa um risco cumulativo significativo em implantações de larga escala.

Autores originais: Ching-Yu Lin, Yifan Liu

Publicado 2026-06-26

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Ching-Yu Lin, Yifan Liu

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está construindo um robô assistente colando diferentes manuais de instrução. Você tem uma página para "Como ser educado", outra para "Como contratar funcionários" e uma terceira para "Como escrever código". Você cola todas elas em um único documento gigante e o entrega ao robô (uma IA) para leitura.

A grande suposição que todos fazem é: "Se eu mudar a página 'Como ser educado', não mudará acidentalmente como o robô realiza a tarefa de 'Contratação'."

Este artigo diz: Essa suposição está errada.

Aqui está o detalhamento do que os pesquisadores descobriram, usando analogias simples:

1. O Problema: "Vazamento de Instrução"

Os pesquisadores chamam este fenômeno de "Vazamento de Instrução" (ou Instruction Bleed ou Compositional Behavioral Leakage).

Pense no cérebro da IA como uma sala enorme e aberta onde todas as páginas de instrução estão estendidas no chão. Em um programa de computador normal, se você mudar uma regra na seção "Cozinha", a seção "Garagem" permanece exatamente a mesma porque elas estão em salas separadas.

Mas com a IA, a "sala" é um grande espaço aberto. A IA lê tudo de uma vez, conectando cada palavra a todas as outras palavras. Os pesquisadores descobriram que, se você editar silenciosamente uma página que não deveria importar (como adicionar uma receita aleatória ao manual de "Contratação"), isso pode alterar silenciosamente a forma como a IA avalia os candidatos a um emprego.

A Analogia: Imagine que você está escrevendo uma história. Se você subitamente adicionar um parágrafo sobre "pimentas picantes" no meio de um capítulo sobre "reparos automotivos", a IA pode começar a pensar subconscientemente que o reparo automotivo precisa ser "picante" ou "quente", mesmo que você não tenha dito isso. O significado "vaza" de uma seção para outra.

2. O Experimento: O Robô de Entrevista de Emprego

Para provar isso, os pesquisadores construíram um teste específico usando um agente de IA real projetado para avaliar candidaturas de emprego.

A Configuração: Eles tinham um módulo "focal" (a parte que pontua o quão bem um currículo corresponde a uma vaga).
O Truque: Eles pegaram um módulo completamente não relacionado (um conjunto de regras para avaliar receitas) e fizeram três tipos de alterações nele:
1. Volume: Apenas tornar a seção de receitas mais longa.
2. Conteúdo: Adicionar uma descrição de personagem estranha e irrelevante às regras da receita.
3. Forma: Alterar a fonte, emojis ou cabeçalhos na seção da receita sem mudar as palavras.

O Resultado:

Mudar o comprimento ou o formato (emojis/cabeçalhos) não alterou muito as pontuações de contratação.
MAS, mudar o conteúdo (adicionar aquela descrição de personagem estranha) fez com que a IA alterasse sistematicamente a forma como pontuava os candidatos ao emprego.
As pontuações mudaram ligeiramente, mas de forma consistente. A IA não começou a rejeitar todo mundo ou contratar todo mundo; ela apenas deu pontuações ligeiramente diferentes.

3. Por que isso importa: O "Desvio Silencioso"

A parte mais assustadora desta descoberta é que ninguém percebeu isso acontecendo.

O Efeito "Sub-Limiar": A IA não cometeu um erro enorme e óbvio (como contratar um palhaço para um cargo de cirurgião). Ela apenas deslocou as pontuações por uma quantidade mínima.
A Metáfora: Imagine uma balança que deveria pesar maçãs. Se você colocar um livro pesado do outro lado da sala (a instrução não relacionada), a balança não quebra, mas começa a pesar cada maçã como sendo 0,5 libra mais pesada. Você não veria uma única maçã "explodir" ou desaparecer, mas se pesar 1.000 maçãs, seu inventário total estará errado.
O Risco: Na vida real, se uma IA for usada para classificar milhares de candidatos, esses desvios minúsculos e silenciosos poderiam mudar quem consegue uma entrevista e quem é rejeitado, mesmo que a IA pareça estar funcionando perfeitamente.

4. Por que isso acontece?

O artigo explica que a arquitetura da IA (chamada de "Transformer") é projetada para olhar para o documento inteiro de uma só vez. Não existem "paredes" entre os diferentes módulos de instrução.

A Realidade de "Sem Paredes": Só porque você colocou uma linha de estrelas (***) ou um cabeçalho como ### Regras de Contratação no texto, a IA não trata isso como um limite rígido. Para a IA, é tudo apenas um grande fluxo de palavras.
O Problema da "Memória": A IA tem uma "memória de trabalho" limitada. Quando você adiciona mais texto (mesmo que seja um texto irrelevante), isso ocupa o espaço necessário para focar perfeitamente na tarefa original.

5. O que os Pesquisadores Propõem

O artigo não apenas aponta o problema; ele oferece uma nova maneira de testar para isso.

O Novo Teste: Antes de lançar um sistema de IA, você não deve apenas verificar se ele funciona. Você precisa verificar se mudar uma parte das instruções quebra outra parte.
O Teste de "Regressão": Eles sugerem que, toda vez que um desenvolvedor adicionar um novo módulo de instrução, ele deve retestar os módulos antigos para garantir que a nova adição não causou um "vazamento".

Resumo

Este artigo revela que, quando construímos agentes de IA colando diferentes instruções de texto, estamos construindo sobre bases instáveis. Mudar uma parte das instruções pode alterar de forma silenciosa e sutil como a IA se comporta em outras partes, mesmo que as mudanças pareçam não relacionadas. É um "desvio silencioso" que os métodos de teste atuais não detectam, mas que pode ter consequências no mundo real, em decisões como contratações ou concessão de empréstimos. Os autores fornecem um novo checklist para capturar esses vazamentos invisíveis antes que eles causem problemas.

Resumo Técnico: Vazamento de Instrução em Sistemas Agênticos Compostos por Prompts

Definição do Problema
O artigo aborda um modo de falha recorrente em sistemas agênticos compostos por prompts, onde o comportamento de um agente é montado em tempo de execução a partir de módulos de linguagem natural (ex: personas, habilidades, regras de orquestração) em vez de código executável. Profissionais observam que a edição de um módulo de prompt pode alterar silenciosamente o comportamento de módulos não relacionados, apesar da ausência de variáveis compartilhadas ou dependências executáveis. Os autores formalizam este fenômeno como Vazamento Composicional de Comportamento (CBL - Compositional Behavioral Leakage).

O CBL é distinto de modos de falha conhecidos, como injeção de prompt adversária, degradação cognitiva ao longo do tempo, propagação de falhas entre múltiplos agentes ou vazamento de privacidade composicional. A causa raiz é identificada como não-isolamento arquitetural: os mecanismos de autoatenção (self-attention) do Transformer computam interações pareadas globais em todo o contexto de entrada sem fronteiras formais entre os módulos concatenados. Consequentemente, delimitadores padrão (ex: ### Persona) atuam como dicas estatísticas em vez de limites de namespace, permitindo a interferência entre módulos coexistentes.

Metodologia
Para investigar o CBL, os autores desenvolveram um protocolo reutilizável de três canais para perturbar módulos não focais enquanto medem o impacto no comportamento de um módulo focal. O estudo foi conduzido em um agente de avaliação de empregos implantado (career-ops) utilizando o modelo Claude Sonnet 4.6 através de 144 ensaios (12 descrições de cargos $\times$ 3 execuções).

O protocolo definiu três condições experimentais contra uma linha de base (C0):

C1 (Volume): Adição de um módulo não relacionado de avaliação de receitas de 200 linhas para testar se o mero volume de contexto causa degradação.
C2 (Conteúdo): Anexação de um arquétipo semanticamente irrelevante ao arquivo de regras compartilhadas para testar a interferência semântica.
C3 (Forma): Introdução de mudanças estruturais que preservam o significado (níveis de cabeçalho, marcadores de emoji, reordenação de seções) para testar a sensibilidade ao formato.

A métrica de resultado primária foi a pontuação cv_match (rubrica de 1 a 5), representando o alinhamento entre o histórico de um candidato e os requisitos do cargo. A análise utilizou tamanhos de efeito pareados (Cohen's d) com intervalos de confiança bootstrap de 95% (10.000 reamostragens) para detectar desvios, juntamente com testes de postos sinalizados de Wilcoxon.

Principais Resultados
O estudo fornece uma prova de existência de interferência entre módulos:

Interferência Semântica (C2): Esta condição produziu um desvio estatisticamente detectável. A adição de um único arquétipo irrelevante ao arquivo de regras resultou em um Cohen's d de 0,63 ( $\Delta = +0,17$ ) na pontuação cv_match, com um IC bootstrap de 95% de [+0,03, +0,31], excluindo o zero. Oito das 12 descrições de cargos mostraram um desvio para cima.
Condições de Controle (C1 & C3): Nem a adição de volume (C1, d = -0,11) nem a perturbação de formato (C3, d = -0,29) produziram um efeito detectável (os ICs incluíram o zero). Isso isola o mecanismo de interferência ao conteúdo semântico em vez de carga de contexto genérica ou sintaxe de formatação.
Regime Subliminar: Não ocorreram inversões de recomendação sob nenhuma condição. O artigo observa que o CBL opera em um "regime sub-liminar" onde as distribuições de pontuação derivam sem cruzar as fronteiras de decisão, tornando-o invisível para o controle de qualidade (QA) padrão que verifica apenas as decisões finais.

Contribuições
O artigo apresenta quatro contribuições específicas:

Definição Operacional: Uma definição formal de CBL como interferência comportamental entre módulos de prompt coexistentes em um contexto de atenção compartilhado, distinguindo-o de vazamento de privacidade e degradação cognitiva.
Protocolo Reutilizável: Um framework de teste de três canais (Volume, Conteúdo, Forma) instanciado em um sistema implantado, fornecendo um método para detectar CBL usando artefatos já produzidos pelas implantações atuais.
Conjunto de Previsões Falsificáveis: Um framework para replicação multi-sistema prevendo:
- Variação significativa na magnitude da interferência entre famílias de modelos.
- Um gradiente de distância semântica onde os desvios são maiores em dimensões da rubrica próximas ao módulo modificado.
- Escalonamento das taxas de inversão de recomendação com a magnitude da intervenção e sobreposição semântica.
Caracterização da Classe de Sistema: Uma classificação de sistemas agênticos compostos por prompt através de um espectro de mecanismos de composição (convenções Markdown, templates Jinja2, herança Python), identificando-os como uma classe distinta de sistema onde a lógica comportamental reside em texto interpretado via atenção.

Significância e Alegações
Os autores posicionam o CBL como uma preocupção de segurança e confiabilidade de primeira ordem para agentes implantados. A significância reside na "não-confiabilidade silenciosa" desses sistemas: como a interferência é subliminar, ela evade testes padrão, mas se acumula ao longo de milhares de decisões, potencialmente afetando sistemas de ranking, priorização e agregação a jusante.

O artigo argumenta que a suposição de que compor módulos de prompt resulta na composição de seus comportamentos individuais não é garantida pela arquitetura Transformer. Consequentemente, os autores afirmam que a medição de interferência entre módulos deve tornar-se um requisito para a avaliação de sistemas compostos por prompt. Eles propõem um framework de teste de regressão cobrindo consistência composicional, regressão de interação de módulos, robustez à perturbação de formato e testes de migração de modelo para lidar com o "espalhamento de prompts" observado em sistemas de grande escala como o OpenClaw.

O trabalho é apresentado como diagnóstico, visando formalizar e medir um fenômeno existente para permitir a mitigação, em vez de introduzir novas capacidades. Os achados sugerem que, sem mecanismos explícitos de isolamento (que as arquiteturas atuais carecem), a composição em nível de texto permanece frágil, e novas combinações de módulos devem ser tratadas como comportamentalmente imprevisíveis até que o isolamento seja validado.