💻 computer science

ChronosAttack: Adversarial Tool Scheduling Attacks on LLM Agents

Este artigo apresenta o ChronosAttack, uma técnica adversária inovadora que manipula o tempo de resposta de ferramentas autênticas em agentes de LLM assíncronos para alterar resultados de decisão sem modificar o conteúdo, demonstrando que a própria ordem de resposta constitui uma superfície de ataque significativa em vários modelos.

Autores originais: Arash Vashagh

Publicado 2026-08-31

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Arash Vashagh

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

A inteligência artificial moderna evoluiu de sistemas que simplesmente respondem a perguntas para agentes capazes de tomar ações. Esses agentes atuam como assistentes digitais que podem alcançar o mundo exterior, usando ferramentas de software para verificar uma previsão do tempo, reservar um voo ou recuperar uma entrada de banco de dados. Eles não apenas leem um documento estático; eles interagem com um ambiente dinâmico, esperando que as ferramentas terminem seu trabalho e, então, usam essa nova informação para decidir o que fazer a seguir. Esse processo baseia-se em uma sequência de eventos: o agente faz uma pergunta, a ferramenta trabalha, a ferramenta envia uma resposta e o agente usa essa resposta para seguir adiante. Para que esses sistemas sejam seguros e confiáveis, devemos entender não apenas quais informações eles recebem, mas também como o tempo de chegada dessa informação molda suas decisões.

Pesquisadores sabem há muito tempo que a ordem em que a informação é apresentada pode mudar a forma como um humano ou uma máquina interpreta uma situação. Se uma lista de opções é embaralhada, a escolha no topo muitas vezes parece mais importante do que a que está na base. Este artigo explora uma maneira nova e sutil de como esse princípio pode ser explorado contra agentes de IA. O estudo, intitulado ChronosAttack, investiga se um atacante pode alterar a decisão final de um agente simplesmente atrasando a chegada de respostas honestas e não modificadas de ferramentas. O atacante não precisa hackear a ferramenta, mudar os dados ou injetar instruções falsas. Ele só precisa controlar o relógio, retendo uma peça específica de informação o tempo suficiente para mudar a ordem em que o agente a visualiza.

Os pesquisadores testaram essa ideia em quatro modelos de IA diferentes e poderosos de grandes empresas de tecnologia. Eles criaram um cenário onde um agente tinha que escolher entre três opções com base em três evidências separadas fornecidas por ferramentas. Em uma situação normal, as ferramentas retornariam suas respostas em uma ordem natural e lógica. No cenário de ataque, os pesquisadores introduziram pequenos atrasos controlados em respostas específicas. Esses atrasos foram tão pequenos que foram medidos em milissegundos — frações de segundo — mas foram suficientes para embaralhar a ordem em que o agente recebia a evidência. O conteúdo da evidência permaneceu exatamente o mesmo; apenas o tempo mudou.

Os resultados mostraram que essa simples manipulação do tempo poderia alterar drasticamente a escolha do agente. Em alguns casos, o atraso fez com que o agente mudasse sua decisão para uma opção alvo específica com alta confiança. Por exemplo, um modelo que inicialmente escolhia uma opção apenas 10 por cento das vezes começou a escolher essa opção 83 por cento das vezes quando a ordem da evidência foi alterada. Outro modelo mostrou uma reação ainda mais dramática, mas na direção oposta: quando a ordem foi alterada, ele abandonou sua escolha habitual quase completamente. Um terceiro modelo permaneceu relativamente estável, mostrando que nem todos os sistemas são igualmente vulneráveis a esse tipo de ataque de tempo. O estudo descobriu que o efeito não se limitava a agentes que lembravam interações passadas; mesmo quando o agente processava toda a informação de uma vez, simplesmente mudar a ordem em que o texto aparecia era suficiente para inverter a decisão.

Os pesquisadores também examinaram se atrasos maiores causariam ataques mais fortes. Eles descobriram que o tamanho do atraso importava menos do que a ordem específica que ele criava. Um pequeno atraso que causasse apenas uma troca na ordem de duas peças de evidência era frequentemente tão eficaz quanto um atraso maior que causasse múltiplas trocas. Isso sugere que a vulnerabilidade reside em como o agente pondera a sequência de informações, e não na magnitude da interrupção. Para combater isso, a equipe testou duas estratégias defensivas. Uma estratégia envolvia esperar até que todas as ferramentas tivessem terminado seu trabalho antes de apresentar os resultados ao agente, garantindo que a informação chegasse em uma ordem fixa e segura. Outra estratégia envolvia pedir ao agente que tomasse a decisão várias vezes com a informação embaralhada em todas as ordens possíveis e, então, só aceitar uma resposta se os resultados fossem consistentes. Ambos os métodos reduziram significamente a capacidade do atacante de controlar o resultado, embora sua eficácia variasse dependendo do modelo de IA específico utilizado.

Este trabalho revela que o tempo de resposta das ferramentas é uma fronteira de segurança que tem sido amplamente negligenciada. Demonstra que o processo de tomada de decisão de um agente é sensível ao ritmo de seus inputs, mesmo quando esses inputs são completamente autênticos. O estudo não afirma que essa vulnerabilidade existe em todos os sistemas do mundo real, nem sugere que todos os agentes de IA correm o mesmo risco. Em vez disso, fornece uma prova clara de que a sequência de eventos é uma variável que pode ser manipulada para alterar resultados. Ao mostrar que um atraso de menos de um segundo pode deslocar uma decisão de uma escolha para outra, a pesquisa destaca uma nova fronteira na segurança da IA. Ela sugere que, à medida que esses agentes se tornam mais integrados às nossas vidas digitais, garantir que sejam robustos contra a influência sutil do tempo será tão importante quanto protegê-los de dados falsos ou comandos maliciosos.

Resumo Técnico: ChronosAttack – Ataques de Agendamento de Ferramentas Adversariais em Agentes LLM

Declaração do Problema

Agentes de Large Language Model (LLM) dependem cada vez mais de ferramentas externas para recuperar informações e executar tarefas de múltiplas etapas. Embora pesquisas anteriores tenham estudado extensivamente vulnerabilidades de segurança relacionadas a injeção de prompt, envenenamento de ferramentas e manipulação de memória, esses ataques tipicamente envolvem a modificação do conteúdo das observações ou a injeção de instruções maliciosas.

Este artigo identifica uma superfície de ataque distinta e inexplorada: o tempo de resposta da ferramenta (tool-response timing). Em sistemas de agentes assíncronos, as respostas das ferramentas frequentemente chegam em tempos diferentes, e os agentes podem processá-las sequencialmente conforme elas chegam. O autor postula que um atacante que não pode modificar, excluir ou fabricar as respostas das ferramentas, mas pode controlar o tempo de entrega (introduzindo atrasos limitados e não negativos), pode alterar a decisão final do agente. A questão central de pesquisa é se mudar a ordem de chegada de evidências autênticas e não modificadas é suficiente para deslocar a decisão de um agente, mesmo sem alterar a informação em si.

Metodologia

Modelo de Ameaça

O estudo define um modelo de ameaça de "apenas atraso" (delay-only), onde um atacante controla uma camada intermediária assíncrona (por exemplo, uma fila de requisições ou proxy). As capacidades do atacante são estritamente limitadas a:

Adicionar atrasos não negativos ( $\delta_i$ ) às respostas das ferramentas.
Limitar o atraso máximo ( $\epsilon$ ).
Restrições: O atacante não pode modificar payloads, adicionar/remover observações, duplicar dados ou acelerar respostas. A integridade do payload é verificada via hash SHA-256.

Mecanismo de Ataque: ChronosAttack

O ChronosAttack explora a natureza assíncrona da execução de ferramentas. Ao introduzir atrasos específicos, o atacante força uma reordenação da sequência de observação ( $\pi$ ) em relação à ordem de chegada natural ( $\pi_0$ ). O ataque baseia-se na hipótese de que os LLMs exibem sensibilidade temporal, onde a ordem de serialização de entradas idênticas influencia a distribuição de saída.

Protocolo de Avaliação

O autor avaliou o ChronosAttack através de quatro famílias distintas de LLM:

OpenAI: GPT-5.6 Sol
Google: Gemini 3.6 Flash
DeepSeek: V4 Flash
Anthropic: Claude Sonnet 4.6

Cenários: Dois tarefas de tomada de decisão controladas foram utilizadas:

Seleção de Provedor de Backup em Nuvem: Ordem natural (Confiabilidade $\to$ Risco $\to$ Custo) vs. Ordem atacada (Risco $\to$ Custo $\to$ Confiabilidade).
Seleção de Parceiro de Envio: Ordem natural (Entrega $\to$ Reclamações $\to$ Preço) vs. Ordem atacada (Reclamações $\to$ Entrega $\to$ Preço).

Configurações Experimentais:

Stateful (Com Estado): As observações são entregues sequencialmente, com o agente mantendo o histórico de interação entre as chegadas.
Stateless (Sem Estado): Todas as observações são fornecidas em uma única chamada de modelo, mas sua serialização textual segue a ordem atacada. Isso isola o efeito da serialização da sequência de estado.
Controle Simultâneo: Todas as observações são fornecidas em uma ordem determinística fixa para estabelecer a preferência de base (baseline).
Análise de Perturbação: Testou zero, uma e duas inversões de pares para determinar se atrasos maiores correlacionam-se com ataques mais fortes.

Defesas Avaliadas:

Sincronização de Barreira Causal (Causal Barrier Synchronization): Armazena todas as observações em um buffer para um passo de decisão até que estejam disponíveis, apresentando-as em uma ordem canônica.
Defesa de Consistência de Ordem (Order-Consistency Defense): Executa a tarefa de decisão através de todas as permutações possíveis das observações (ex: $3! = 6$ permutações) e exige um consenso (ex: $\geq 4$ votos) para emitir uma decisão; caso contrário, o sistema se abstém.

Principais Contribuições

Identificação de uma Nova Superfície de Ataque: O artigo demonstra que o tempo (timing) em si é uma variável de controle adversária. Diferente de ataques anteriores que dependem de manipulação de conteúdo, o ChronosAttack utiliza apenas atrasos limitados para alterar a serialização de evidências autênticas.
Análise de Sensibilidade entre Modelos: O estudo revela que a sensibilidade à ordem de observação é altamente dependente do modelo. Um cronograma adversarial fixo pode causar:
- Deslocamentos direcionados fortes para um resultado específico (ex: GPT-5.6 Sol, Claude).
- Fortes deslocamentos na direção oposta (ex: Gemini).
- Estabilidade relativa (ex: DeepSeek).
Independência de Estado: O autor mostra que o estado sequencial do agente (histórico de interação) não é necessário para o sucesso do ataque. Em configurações stateless, alterar apenas a serialização textual de entradas idênticas foi suficiente para alterar as decisões finais.
Custo Não Linear do Ataque: A magnitude do atraso não correlaciona necessariamente com a força do ataque. Uma única inversão de par (pequeno atraso) foi frequentemente tão eficaz quanto, ou mais eficaz do que, múltiplas inversões.

Resultados

Desempenho do Ataque de Cronograma Fixo

GPT-5.6 Sol: Exibiu fortes deslocamentos direcionados. No cenário de Nuvem, a seleção do alvo subiu de 0% (natural) para 83,3% (atacada). No de Envio, subiu de 10,0% para 66,7%.
Claude Sonnet 4.6: Mostrou um forte deslocamento direcionado no cenário de Nuvem (46,7% $\to$ 93,3%), mas permaneceu resistente no cenário de Envio (0% $\to$ 0%).
Gemini 3.6 Flash: Exibiu o maior efeito de direção reversa. A seleção do alvo caiu de 100% para 6,7% no cenário de Nuvem e de 100% para 80,0% no de Envio.
DeepSeek V4 Flash: Demonstrou estabilidade comparativa, com mudanças mínimas nas taxas de seleção de alvo entre os cenários.

Estado e Perturbação

Impacto Stateless: Remover o estado sequencial não eliminou a vulnerabilidade. Por exemplo, a seleção de alvo de Nuvem do Claude mudou de 0% para 100% no ambiente stateless, provando que a ordem de serialização por si só impulsiona a mudança de decisão.
Tamanho da Perturbação: Aumentar o número de inversões (de 1 para 2) não aumentou consistentemente a taxa de sucesso do ataque. Em vários casos, uma única inversão foi suficiente para maximizar o efeito.

Eficácia da Defesa

Sincronização de Barreira Causal: Altamente eficaz para modelos suscetíveis a ataques direcionados. Reduziu as taxas de seleção de alvo para 0% para o GPT-5.6 Sol e Claude em ambos os cenários.
Defesa de Consistência de Ordem: Também eficaz, impedindo a saída do alvo para o GPT-5.6 Sol e Claude. No cenário de Nuvem do Claude, a defesa resultou em um empate de 3–3 entre as permutações, fazendo com que o sistema se abstivesse em todos os testes.

Significância e Alegações

O artigo afirma que o tempo de resposta das ferramentas constitui uma superfície de ataque relevante para a segurança de agentes de LLM assíncronos, mesmo quando os conteúdos das ferramentas permanecem autênticos e não modificados.

Robustez Temporal: Os achados sugerem que a "robustez temporal" deve ser uma nova métrica para avaliar a segurança de agentes. A estabilidade de decisão de um modelo deve ser medida contra variações na ordenação das observações, não apenas contra perturbações de conteúdo.
Vulnerabilidade de Nível de Sistema: O ataque destaca que a segurança do agente é um problema de nível de sistema que envolve protocolos de comunicação e agendamento, não apenas os parâmetros do modelo de linguagem subjacente.
Dependência de Modelo: Os resultados alertam contra a suposição de vulnerabilidade uniforme entre famílias de modelos. Um cronograma que manipula com sucesso um modelo pode ter efeitos negligenciáveis ou até contraproducentes em outro.
Implicações de Defesa: Mecanismos simples de sincronização (buffering até que todos os dados estejam disponíveis) e verificações de consistência de ordem podem mitigar significativamente esta classe de ataques, embora sua eficácia varie conforme o modelo.

O autor conclui que as futuras arquiteturas de agentes devem tratar a incerteza temporal explicitamente, potencialmente raciocinando sobre a possível ordenação das chamadas de ferramentas, em vez de assumir que a ordem de chegada é semanticamente significativa por padrão.