💬 NLP

SkillBloat: Token Amplification Attacks via Skill Injection in LLM Coding Agents

Este artigo introduz o SkillBloat, um framework de duas fases que explora canais de injeção de habilidades confiáveis em agentes de codificação de LLM para alcançar uma amplificação de tokens significativa (5,4x–10,1x), revelando uma ameaça distinta de abuso de recursos econômicos ortogonal a ataques de segurança tradicionais.

Autores originais: Yuanjin Zheng, Jingbang Chen

Publicado 2026-08-25

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Yuanjin Zheng, Jingbang Chen

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

No cenário moderno da inteligência artificial, os grandes modelos de linguagem evoluíram de simples geradores de texto para agentes autônomos capazes de raciocínio e ação complexos. Esses assistentes digitais podem ler código, executar comandos e gerenciar projetos de software, muitas vezes dependendo de um sistema de "habilidades" para estender suas capacidades. Pense nessas habilidades como manuais de instrução modulares ou kits de ferramentas que um agente pode baixar e confiar para ajudá-lo a resolver problemas específicos. Assim como um humano pode consultar um guia especializado para consertar um carro ou analisar um relatório financeiro, um agente de IA carrega esses guias digitais para entender como abordar uma tarefa. Esse ecossistema de habilidades compartilhadas tornou os agentes mais poderosos e versáteis, mas também criou um novo tipo de vulnerabilidade. Como esses agentes tratam esses guias como instruções confiáveis, um ator malicioso poderia potencialmente esconder comandos prejudiciais dentro de um manual aparentemente útil, enganando o agente para que ele faça algo que não deveria fazer.

Pesquisadores há muito temem que esses agentes sejam enganados para roubar dados ou invadir sistemas, mas um novo estudo revela uma ameaça diferente e mais silenciosa, que visa a carteira em vez do cofre de segurança. Os pesquisadores, Yuanjin Zheng e Jingbang Chen, investigaram um fenômeno que chamam de "amplificação de tokens". No mundo da IA, cada palavra que o modelo lê e escreve custa dinheiro, medido em unidades chamadas tokens. A equipe descobriu que uma habilidade maliciosa poderia ser elaborada para forçar um agente a realizar muito mais trabalho do que o necessário para completar uma tarefa simples, inflando o custo da operação sem alterar o resultado final. É uma forma de abuso econômico onde o agente é coagido a correr em círculos, verificar seu trabalho repetidamente ou gerar relatórios excessivos, tudo isso enquanto parece funcionar perfeitamente normalmente.

Para entender como isso funciona, os pesquisadores construíram um framework que nomearam como SkillBloat. Eles começaram com uma biblioteca de quinze maneiras diferentes de enganar um agente para desperdiçar recursos. Esses métodos incluíam instruções que forçavam o agente a escrever relatórios excessivamente longos, executar verificações de qualidade desnecessárias ou simular erros que exigiam que o agente refizesse seu trabalho. Os pesquisadores então testaram esses truques contra agentes de codificação do mundo real, especificamente aqueles construídos por grandes empresas de tecnologia. Eles descobriram que simplesmente selecionar o tipo certo de truque poderia aumentar a quantidade de trabalho que um agente realizava em uma média de cinco a dez vezes. Em alguns casos extremos, uma única tarefa que normalmente custaria alguns centavos para rodar foi elevada para custar mais de cinco dólares, simplesmente porque o agente estava seguindo um manual de instruções envenenado que o instruía a ser excessivamente minucioso.

O estudo não parou na descoberta de um único truque eficaz. Os pesquisadores desenvolveram um processo de duas etapas para refinar seus ataques. Primeiro, eles filtraram sua biblioteca de truques para encontrar qual funcionava melhor para um agente e tarefa específicos. Uma vez identificada a técnica mais eficaz, eles usaram uma segunda inteligência artificial para reescrever todo o documento da habilidade, polindo as instruções para tornar o comportamento de desperdício ainda mais convincente. Essa segunda etapa permitiu que o ataque se adaptasse às peculiaridades específicas do agente alvo, garantindo que o trabalho extra parecesse uma parte natural do fluxo de trabalho. Os resultados foram impressionantes: os ataques refinados superaram consistentemente os truques iniciais, elevando ainda mais o consumo médio de recursos. Em um exemplo detalhado, um agente analisando um registro de meditação foi enganado para realizar uma série de etapas de verificação complexas e edições de arquivos que aumentaram seu uso de tokens em mais de vinte e seis vezes, tudo isso enquanto completava com sucesso o pedido original de categorizar as entradas do registro.

O que torna essa descoberta particularmente preocupante é que os agentes não falharam; eles tiveram sucesso em suas tarefas. As instruções maliciosas foram projetadas para preservar a aparência de operação normal enquanto secretamente elevavam o custo. Os pesquisadores testaram se essas habilidades envenenadas funcionariam em diferentes tarefas ou se eram eficazes apenas para o problema específico para o qual foram desenhadas. Eles descobriram que as habilidades eram altamente portáteis; uma habilidade criada para desperdiçar recursos em um tipo de projeto frequentemente funcionava tão bem quanto em projetos completamente diferentes. Isso sugere que uma única habilidade maliciosa poderia ser distribuída amplamente e causar danos financeiros significativos em muitos usuários e aplicações diferentes. O estudo também observou que versões mais leves e rápidas dos modelos de IA eram frequentemente mais vulneráveis a esses ataques do que suas contrapartes mais poderosas, pois os modelos mais fortes pareciam melhores em reconhecer e ignorar instruções redundantes.

Os pesquisadores enfatizam que esta ameaça é distinta dos ataques de segurança tradicionais. Enquanto estudos anteriores focaram em como os agentes poderiam ser enganados para vazar segredos ou executar código não autorizado, este trabalho destaca uma vulnerabilidade no modelo econômico dos serviços de IA. O ataque não exige que o agente quebre suas regras ou comprometa sua segurança; ele simplesmente explora o desejo do agente de ser minucioso e prestativo. Ao incorporar instruções que incentivam a verificação excessiva, tentativas repetidas e relatórios verbosos, um atacante pode drenar recursos sem acionar os alarmes de segurança que geralmente detectam comportamentos maliciosos. As descobertas sugerem que, à medida que os agentes de IA se tornam integrados às nossas vidas digitais, protegê-los exigirá mais do que apenas bloquear maus atores; também exigirá novas maneiras de detectar quando um agente está sendo manipulado para realizar trabalho desnecessário. O estudo conclui que o ecossistema de habilidades de agentes, embora seja uma ferramenta poderosa para a inovação, expõe atualmente uma superfície de ataque prática e perigosa, que é fácil de explorar e difícil de defender.

Resumo Técnico: SkillBloat

Declaração do Problema

O artigo aborda um novo vetor de ameaça em agentes de codificação baseados em Large Language Models (LLMs): a Amplificação de Tokens via Injeção de Habilidades (Skill Injection). Enquanto a pesquisa existente sobre habilidades de agentes (pacotes modulares de instrução como SKILL.md) foca em riscos de segurança como vazamento de dados, escalonamento de privilégios e injeção de backdoors, este trabalho identifica uma classe distinta de ameaça: o abuso de recursos econômicos.

Nos ecossistemas modernos de agentes de codificação (ex: Anthos's Agent Skills, Gemini CLI), as habilidades são tratadas como extensões de capacidade de alto privilégio e confiança. Um ator malicioso pode criar uma habilidade "envenenada" que, embora pareça completar a tarefa legítima do usuário, força o agente a consumir um número significativamente maior de tokens do que o necessário. Isso resulta em custos econômicos desproporcionais para o usuário ou provedor de serviço sem acionar os detectores de segurança tradicionais projetados para exfiltração de dados ou comprometimento do sistema. O desafio central reside na dificuldade de distinguir entre instruções verbosas legítimas e diretivas de amplificação maliciosas, uma vez que as habilidades são carregadas com alta confiança.

Metodologia: O Framework SkillBloot

Os autores propõem o SkillBloat, um framework de duas fases projetado para descobrir e otimizar sistematicamente ataques de amplificação de tokens através de injeção de habilidades. O framework opera sob um modelo de ameaça onde um atacante controla o conteúdo de um documento de habilidade e seus scripts agrupados.

Fase 1: Triagem de Tipos de Ataque

A primeira fase envolve a triagem de uma biblioteca de diversos tipos de condições de ataque ( $Z = \{z_1, ..., z_K\}$ ) para identificar o mecanismo de amplificação mais eficaz para um par específico de habilidade-tarefa.

Biblioteca de Ataques: Os autores instanciam 15 condições de ataque distintas visando três mecanismos de amplificação:
1. Inflação de Saída (Output Inflation): Induzir relatórios verbosos, análise de múltiplas perspectivas ou decomposição detalhada.
2. Amplificação Impulsionada por Ferramentas (Tool-Driven Amplification): Forçar pipelines de múltiplos estágios, loops de garantia de qualidade (QA) repetidos, ciclos de leitura-escrita-verificação de arquivos ou mecanismos de tentativa de erro (retry).
3. Amplificação de Contexto (Context Amplification): Inflar o contexto de trabalho com materiais de referência ou resumos monotonicamente crescentes.
Agente de Ataque de Fusão de Ferramentas (Tool-Fusion Attack Agent): Para cada condição, um LLM especializado (o Agente de Ataque) reescreve todo o documento SKILL.md. Ele integra scripts de ferramentas auxiliares como etapas padrão de configuração, análise ou verificação, garantindo que o ataque preserve a intenção original da tarefa enquanto incorpora a lógica de amplificação.
Seleção: O sistema executa o agente alvo com cada habilidade reescrita e seleciona a condição ( $z^*$ ) que produz a maior razão de amplificação ( $R_{total} = C_{adv} / C_{base}$ ).

Fase 2: Refinamento Iterativo Guiado por LLM

A segunda fase refina o candidato mais forte da Fase 1 através de um loop de feedback iterativo.

Processo: Começando com o vencedor da Fase 1, o Agente de Ataque realiza $N$ iterações de refinamento. Em cada iteração, o agente reescreve o documento de habilidade completo com base no feedback estruturado do rastreamento de execução anterior.
Mecanismo de Feedback: Um Analisador de Falhas (Failure Analyzer) diagnostica o resultado (ex: baixa amplificação, falha na tarefa, recusa do agente) e fornece feedback específico. O prompt do sistema para o Agente de Ataque é adaptado com base nesses diagnósticos para ajustar a estratégia de reescrita (ex: estreitando a integração com o fluxo de trabalho se for ignorado, ou suavizando a linguagem se o agente recusar).
Objetivo: Este loop permite que o ataque se adapte aos padrões comportamentais específicos do agente alvo, otimizando para o consumo máximo de tokens enquanto mantém a conclusão da tarefa.

Principais Contribuições

Primeiro Estudo Sistemático: O artigo apresenta a primeira investigação sistemática de ataques de amplificação de tokens via injeção de habilidades, categorizando-a como uma ameaça ortogonal à injeção de habilidades tradicional voltada para segurança.
Pipeline de Duas Fases: Os autores propõem e validam um pipeline que combina a triagem ampla de tipos de ataque com a reescrita de documento completo, iterativa e guiada por LLM.
Avaliação Empírica: O framework é avaliado em um benchmark de habilidades reais de agentes de codificação e prompts de tarefas através de múltiplas interfaces de agentes (Claude Code, OpenAI Codex CLI) e modelos de backend.

Resultados Experimentais

A avaliação foi conduzida em um benchmark contendo habilidades reais em engenharia de software, computação científica e processamento de dados. O estudo foi testado contra Claude Code (usando GLM-4.7-Flash e glm-5) e OpenAI Codex (usando gpt-5.4-mini e gpt-5.5).

Magnitude de Amplificação: O SkillBloat alcançou uma amplificação média ideal variando de 5,4184× a 10,1455× em diferentes configurações.
- A amplificação máxima de uma única tarefa observada foi de 75,86× (Codex com gpt-5.4-mini).
- Um estudo de caso específico na tarefa "consciousness-principles" mostrou um aumento de 38.410 tokens para 1.013.561 tokens (26,39×), elevando o custo estimado de \ $0,21 para \$ 5,41.
Conclusão da Tarefa: Crucialmente, os ataques preservaram a conclusão da tarefa. Em muitas configurações, a taxa de conclusão das execuções atacadas foi comparável ou até superior à linha de base benigna (ex: o Codex gpt-5.4-mini melhorou de 86% para 92% de conclusão sob ataque).
Vulnerabilidade do Modelo: Modelos de backend mais leves (ex: GLM-4.7-Flash, gpt-5.4-mini) mostraram-se mais vulneráveis do que seus equivalentes mais fortes, provavelmente porque modelos mais fortes são melhores em comprimir instruções redundantes ou resistir à adesão literal a loops de validação injetados.
Estudo de Ablação: O estudo confirmou que a Fase 2 (refinamento iterativo) fornece valor significativo sobre a Fase 1 isolada. O loop guiado por feedback superou consistentemente a linha de base de reamostragem "sem feedback", demonstrando que os ganhos vêm da adaptação ao comportamento do agente alvo, e não apenas de amostrar mais candidatos.
Persistência entre Tarefas: O artigo demonstra que as habilidades envenenadas não são sobreajustadas (over-fitted) a uma única tarefa. Quando implantadas em novas variantes de tarefas sem reotimização, as habilidades mantiveram aproximadamente 92% de seu efeito de amplificação original, com algumas até aumentando em potência.

Significância e Alegações

Os autores alegam que o SkillBloat expõe uma superfície de ataque prática e anteriormente subexplorada em ecossistemas de IA agêntica. A significância deste trabalho reside em três áreas principais:

Ameaça Ortogonal: Diferente de ataques de segurança que visam comprometer dados ou sistemas, esta ameaça visa recursos econômicos. É distinta porque não necessariamente aciona detectores de segurança projetados para operações maliciosas, já que o agente parece estar funcionando normalmente e completando a tarefa.
Exploração de Traços do Agente: Os ataques mais eficazes (ex: "tentativa de erro falsa", "decomposição de tarefa") exploram traços desejáveis do agente, como persistência, planejamento estruturado e autoverificação. Isso os torna difíceis de distinguir de instruções de habilidades legítimas e de alta qualidade.
Implicações de Defesa: Os achados sugerem que as defesas atuais são insuficientes. Proteger ecossistemas de agentes requer mecanismos que raciocinem não apenas sobre operações maliciosas, mas também sobre o uso anormal de recursos induzido por instruções de habilidades que, de outra forma, seriam plausíveis. O artigo conclui que o ecossistema de habilidades é altamente suscetível a esta forma de abuso econômico, motivando a necessidade de defesas mais fortes contra a amplificação de recursos.