Resumo Técnico: A Anatomia de uma Injeção de Prompt

Definição do Problema

Quatro anos após a identificação inicial da injeção de prompt em 2022, o campo carece de um modelo padronizado e baseado em componentes para analisar ataques. Atualmente, os artefatos de injeção de prompt são documentados primariamente como strings literais, em vez de explorações estruturadas. Essa abordagem de "correspondência de strings" cria inconsistências significativas na análise: dois analistas podem discordar se um prompt "DAN" (Do Anything Now) e um texto branco sobre branco oculto em um currículo constituem o mesmo tipo de ameaça.

À medida que os agentes de Grandes Modelos de Linguagem (LLMs) se tornam mais capazes, os ataques visam cada vez mais sinks de TI técnicos (bancos de dados, aplicações web) e manipulam a análise de segurança assistida por IA (ex: triagem de malware). A atual falta de um modelo de componentes impede que defensores, red teamers e equipes de Inteligência de Ameaças Cibernéticas (CTI) classifiquem, comparem e mutem ataques de forma eficaz. Além disso, confiar na analogia da injeção de SQL é um guia ruim para mitigação, pois os LLMs carecem de uma distinção inerente entre dados e instruções, tornando o risco residual difícil de eliminar via consultas parametrizadas. O problema não é apenas a string do ataque, mas a ausência de uma linguagem compartilhada para descrever os papéis funcionais do artefato.

Metodologia

O artigo propõe um modelo de sete componentes para formalizar a estrutura de um artefato de injeção de prompt. Este modelo decompõe o ataque em cinco campos que descrevem o próprio artefato e dois campos que descrevem o ambiente. A metodologia envolve:

1. Definição de Papéis Funcionais: Identificar os trabalhos específicos que um ataque deve realizar para ter sucesso, indo além do vocabulário superficial para a mecânica subjacente (ex: distinguindo entre ocultação e transportador).
2. Estabelecimento de Regras de Rotulagem: Criar regras de decisão para reduzir a discordância dos codificadores, garantindo que diferentes realizações em linguagem natural que mapeiam para a mesma intenção recebam o mesmo rótulo estrutural.
3. Referenciação de Trabalhos Anteriores: Mapear o novo modelo contra frameworks existentes (Taxonomias de Campanhas, Taxonomias de Técnicas, HOUYI, ReNeLLM, Promptware Kill Chain) para demonstrar como o novo modelo abrange o espaço funcional anteriormente coberto apenas parcialmente por outros.
4. Exemplos Práticos: Aplicar o modelo a casos reais e ilustrativos, incluindo a vulnerabilidade EchoLeak (CVE-2025-32711) e uma amostra de malware em uso real tentando evitar a análise de segurança assistida por IA.

Principais Contribuições

1. O Modelo de Sete Componentes

A principal contribuição é uma decomposição estruturada da injeção de prompt em sete componentes:

• Campos do Artefato (O Corpo do Prompt):

  • Transportador (Carrier): Conteúdo de aparência benigna que transporta a instrução maliciosa (ex: um relatório de erro, currículo ou convite de calendário). Deve sobreviver à revisão humana e à recuperação de máquina.
  • Ocultação (Concealment): A camada de ofuscação (ex: texto branco sobre branco, codificação Base64, troca de idioma) projetada para evitar a detecção humana ou de filtros.
  • Quebra de Contexto (Context-Break): O escape de sintaxe (o "');--" da injeção de prompt) que termina o contexto de instrução confiável, forçando o modelo a processar o texto subsequente como uma nova instrução.
  • Escalação de Privilégios: Distinto da quebra de contexto, isso altera o que o modelo está disposto ou capaz de fazer. É dividido em Bypass de Alinhamento (derrotar o treinamento de recusa via personas ou manipulação emocional) e Abuso de Capacidade (coagir um agente a usar permissões que ele já possui, como no padrão "deputado confuso").
  • Payload: A instrução executável (shellcode). O artigo define classes funcionais (Recon, Exfiltração, Ação, Persistência, DoS, Subversão de Segurança) e enfatiza o rastreamento da Intenção (alvo da ferramenta, sink, efeito) em vez do vocabulário superficial.

• Campos do Ambiente:

  • Vetor de Entrega (Delivery Vector): Como o artefato entra na fronteira de confiança (Direta vs. Indireta). A entrega indireta (ex: documentos RAG envenenados) escala independentemente do esforço do atacante.
  • Canal de Retorno (Return Channel): Como os resultados chegam ao atacante (Inline, HTTP, DNS, E-mail, Plataformas de Colaboração ou Nulo para ataques de "dispare e esqueça").

2. Registro de Análise Lógica

O artigo introduz um esquema semelhante ao JSON para registrar incidentes. Este registro separa a Intenção (o objetivo, ex: mostrar_informações_atuais_do_cliente), a Superfície (o fraseamento ou codificação específica) e o Efeito Compilado (a chamada de ferramenta ou ação real). Isso permite que analistas agrupem campanhas que compartilham a mesma "forma de técnica", mesmo com zero sobreposição lexical.

3. Crosswalks e Projeções

O artigo fornece um mapeamento (crosswalk) dos sete componentes para o Promptware Kill Chain e demonstra como frameworks anteriores (HOUYI, ReNeLLM) são projeções em subespaços restritos deste modelo. Por exemplo, o resultado de dois componentes do ReNeLLM é mostrado como uma visão válida, porém limitada, de jailbreaks diretos, enquanto o modelo completo é necessário para ataques de agentes complexos.

Resultados e Casos Ilustrativos

O artigo valida o modelo através de exemplos práticos:

• EchoLeak (CVE-2025-32711): Demonstrado como um ataque de Abuso de Capacidade onde o transportador era um e-mail malicioso, a entrega foi indireta via RAG, e o payload extraiu segredos usando permissões que o agente já possuía. O canal de retorno utilizou uma imagem Markdown de estilo de referência para intermediar dados através dos próprios servidores da Microsoft.
• Amostra de Malware de Evasão de IA: Uma amostra de malware em uso real (projeto "Skynet") carregada no VirusTotal tentou manipular um analista de IA. O binário atuou como o transportador, com a intenção do payload sendo Subversão de Segurança (especificamente marcar_como_benigno). O canal de retorno foi Nulo, já que o objetivo era alterar a decisão de triagem sem exfiltração.
• Agente Composto: Um exemplo ilustrativo combinando um ticket do Jira envenenado (Transportador) com comentários HTML (Ocultação) e tags de sistema forjadas (Quebra de Contexto) para disparar uma injeção de SQL via uma ferramenta downstream.

Significância e Alegações

O artigo afirma que este modelo de componentes fornece uma linguagem compartilhada para ataque, defesa e inteligência de ameaças que atualmente está ausente. Sua significância reside em:

1. Padronização: Permite a classificação de ataques baseada em intenção e estrutura, em vez de assinaturas de strings frágeis. Dois ataques com palavras diferentes, mas com o mesmo tuplo de componentes (entrega, quebra de contexto, escalação de privilégios, intenção, canal de retorno), são identificados como a mesma forma de técnica.
2. Melhoria na Detecção e Análise: Ao focar nos papéis funcionais (ex: distinguir entre bypass de alinhamento e abuso de capacidade), os defensores podem entender melhor a mecânica de um ataque. O artigo cita evidências de que o prompting guiado por taxonomia melhora as taxas de detecção de jailbreak (de 65,9% para 78,0% em trabalhos anteriores), sugerindo que rótulos estruturados aprimoram a análise.
3. Utilidade para CTI: O modelo permite que equipes de CTI agrupem campanhas e amostras de malware que compartilham formas de técnica, mesmo quando incorporam injeção de prompt para manipular a análise assistida por IA. Ele suporta o mapeamento para padrões da indústria como STIX 2.1 e MITRE ATLAS.
4. Capacitação de Red Teaming: Permite que red teamers variem um componente por vez enquanto mantêm uma cadeia de intenção fixa, facilitando a mutação e o teste sistemáticos em vez da iteração opaca de strings.

O artigo mantém uma postura modesta, observando que o modelo é descritivo, não prescritivo para a construção de guardrails. Ele reconhece que o sucesso permanece dependente do modelo e não determinístico, recomendando o registro de faixas de Taxa de Sucesso de Ataque (ASR) esperadas, em vez de indicadores binários de sucesso. A principal proposta de valor é a capacidade de decompor o artefato de injeção de prompt através dos papéis funcionais necessários para ataques agênticos e híbridos, uma capacidade que nenhum framework anterior possuía.