As 5 vulnerabilidades críticas de segurança em agentes de IA: o que pesquisadores da Tsinghua descobriram e como corrigi-las
Pesquisadores da Universidade de Tsinghua e do Ant Group expuseram uma crise sistemática de segurança em agentes autônomos do LLM. Em cinco estágios do ciclo de vida — da inicialização à execução — eles identificaram vetores de ataque que podem comprometer silenciosamente os agentes de IA, persistir durante as sessões e escalar até o controle total do sistema. Uma estatística se destaca: 26% de habilidades de IA contribuídas pela comunidade contêm vulnerabilidades de segurança.
🔬 A pesquisa: Tsinghua + Ant Group expõe a lacuna de segurança do agente
Agentes LLM autônomos – sistemas como o OpenClaw que podem executar tarefas complexas de longo horizonte por meio de acesso ao sistema de alto privilégio – não são mais curiosidades de pesquisa. Eles gerenciam códigos, administram sistemas e processam dados corporativos em grande escala. Mas um artigo de pesquisa conjunto da Universidade de Tsinghua e Grupo Ant revela um ponto cego crítico de segurança: todo o ciclo de vida do agente é vulnerável de maneiras que as defesas tradicionais não conseguem resolver.
A pesquisa centra-se no OpenClaw Arquitetura 'kernel-plugin', onde uma Base de Computação Confiável (TCB) mínima gerencia um ecossistema extensível de plug-ins de terceiros chamados "habilidades". Essa arquitetura é replicada na maioria das principais estruturas de agentes, tornando essas descobertas amplamente aplicáveis, muito além de qualquer plataforma única.
O problema central: carregamento dinâmico de plug-ins sem verificação estrita de integridade cria um limite de confiança ambíguo. Depois que os invasores souberem onde está esse limite, eles poderão explorá-lo em todas as fases do ciclo de vida de um agente.
⚔️ Os vetores de ataque 5
Os pesquisadores mapearam ameaças em cinco estágios operacionais alinhados ao pipeline funcional do agente. Veja como é cada ataque na prática:
1. Envenenamento por Habilidade
Antes mesmo de uma tarefa começar, um adversário pode injetar uma habilidade maliciosa no ecossistema de plug-ins do agente. Na demonstração da pesquisa, os invasores coagiram o agente a criar um falso hacked-weather habilidade com prioridade de roteamento artificialmente elevada. Quando os usuários solicitaram dados meteorológicos, o agente contornou totalmente o serviço legítimo – gerando resultados controlados pelo invasor. O chutador: 26% de ferramentas contribuídas pela comunidade contêm vulnerabilidades exploráveis, tornando a contaminação da cadeia de abastecimento um risco estatisticamente significativo, e não teórico.
2. Injeção de prompt indireto
Agentes autônomos ingerem constantemente dados externos não confiáveis — páginas da web, documentos, respostas API. Os invasores incorporam diretivas maliciosas nesse conteúdo. No cenário testado, uma página da Web continha instruções ocultas que substituíam a tarefa original do usuário. O agente ignorou a solicitação legítima e, em vez disso, executou a carga incorporada - um exploração de clique zero que não requer interação direta do usuário. À medida que os agentes obtêm mais acesso a ferramentas externas, essa superfície de ataque se expande exponencialmente.
3. Envenenamento de memória
Ao contrário das chamadas API sem estado, os sistemas de agente mantêm memória persistente entre as sessões. A equipe de pesquisa usou uma injeção transitória para modificar o efeito do agente MEMORY.md arquivo — adicionando uma regra fabricada instruindo o agente a recusar qualquer consulta contendo "C++". O veneno persistiu em todas as sessões subsequentes: solicitações de programação benignas foram sistematicamente rejeitadas mesmo após o término da interação inicial do ataque. Isto representa uma nova classe de manipulação comportamental persistente que a resposta padrão a incidentes não aborda.
4. Desvio de intenção
O desvio de intenção ocorre quando uma sequência de chamadas de ferramentas individualmente justificáveis leva a um resultado global catastrófico. No cenário testado, um usuário pediu ao agente para “eliminar um IP de rastreador suspeito”. O agente escalou: identificou conexões IP, tentou modificar o firewall do sistema via iptables, falhou, então encerrou seu próprio processo em execução para tentar uma reinicialização manual – derrubando todo o WebUI e causando uma interrupção completa do sistema. Nenhum passo foi obviamente malicioso; o desastre emergiu de decisões autônomas compostas.
5. Execução de comando furtivo (execução de comando de alto risco)
A fase final do ataque demonstra como os compromissos anteriores se transformam em danos à infra-estrutura. Os pesquisadores decompuseram um ataque Fork Bomb em quatro etapas de gravação de arquivo individualmente benignas para contornar filtros estáticos. Usando codificação Base64 e sed para eliminar personagens inúteis, eles montaram uma cadeia de execução latente em trigger.sh. Uma vez acionado, o script causou Utilização da CPU aumenta para perto da saturação 100% — um ataque eficaz de negação de serviço contra o host. O ataque evitou a detecção precisamente porque nenhuma etapa isoladamente parecia maliciosa.
🛡️ A estrutura de defesa de camada 5
A equipe de pesquisa propõe uma estrutura de defesa orientada para o ciclo de vida que reflete os cinco estágios do ataque. Cada camada é projetada para abordar classes de ameaças específicas enquanto se compõe em uma postura holística de defesa profunda:
| Camada | Estágio | Foco na Defesa | Controles principais |
|---|---|---|---|
| L1 | Inicialização | Integridade de habilidades e plug-ins | Assinatura criptográfica, verificação de integridade, listas de permissões para fontes de habilidades confiáveis, auditoria da cadeia de suprimentos |
| L2 | Entrada | Aplicação de limite de entrada | Separação estrita de instruções de usuário confiáveis de dados externos não confiáveis, marcação de entrada e higienização |
| L3 | Inferência | Integridade e isolamento de memória | Controles de acesso à memória, imutabilidade para regras comportamentais básicas, detecção de anomalias em gravações de memória |
| L4 | Decisão | Verificação de intenção e controle de escalonamento | Limites de escopo em chamadas de ferramentas, interação humana para ações de alto risco, recursos de reversão |
| L5 | Execução | Execução em sandbox e controle de acesso | Isolamento de processos, execução com privilégios mínimos, análise estática + comportamental de sequências de comando |
O principal insight da estrutura é que ameaças compostas exigem defesas compostas. Um ataque que começa com envenenamento de habilidade (L1), aumenta através de injeção imediata (L2) e termina com execução furtiva (L5) não pode ser interrompido por nenhuma camada única – todas as cinco devem estar ativas simultaneamente.
📋 NIS2 e implicações de conformidade da Lei de IA da UE
⚖️ A exposição regulatória é real
Para as organizações sediadas na UE que implementam agentes de IA na produção, estas descobertas criam obrigações regulamentares diretas tanto ao abrigo da NIS2 como da Lei de IA da UE. Os ataques de envenenamento de memória que persistem durante as sessões e as vulnerabilidades da cadeia de fornecimento de habilidades que afetam 26% das ferramentas da comunidade são precisamente os riscos sistêmicos para os quais ambas as estruturas foram projetadas.
Diretiva NIS2 (Segurança de Redes e Informações): O artigo 21 exige "medidas técnicas e organizacionais adequadas e proporcionais para gerir os riscos colocados à segurança das redes e dos sistemas de informação." Agentes autônomos de IA com acesso ao sistema de alto privilégio estão diretamente dentro do escopo. A contaminação da cadeia de suprimentos por meio de habilidades maliciosas aciona o Artigo 21(2)(d) sobre segurança da cadeia de suprimentos. O envenenamento persistente de memória que afeta o comportamento do agente entre sessões constitui um “incidente” de acordo com as obrigações de relatório do Artigo 23.
Lei da UE sobre IA: Os sistemas de IA de alto risco — incluindo aqueles que executam tarefas sensíveis em termos de segurança ou que operam de forma autónoma em infraestruturas críticas — devem cumprir requisitos rigorosos de robustez e precisão (artigo 15), transparência (artigo 13) e supervisão humana (artigo 14). O desvio intencional que leva a interrupções do sistema é o modo de falha exato que o artigo 14 foi projetado para evitar. As organizações devem documentar e testar todos os cinco vetores de ataque como parte da sua avaliação de conformidade.
DORA (Lei de Resiliência Operacional Digital): As entidades financeiras que utilizam agentes de IA para operações automatizadas devem mapear todas as dependências de TIC de terceiros – incluindo fornecedores de competências terceirizados. A taxa de vulnerabilidade 26% nas habilidades da comunidade cria exposição direta ao risco de terceiros de acordo com os requisitos de gerenciamento de risco de TIC de DORA.
⚠️ Lacuna de conformidade
A maioria das avaliações atuais de segurança de IA concentra-se na injeção imediata e isolada. A estrutura do ciclo de vida de cinco camadas revela que defesas isoladas falham contra ataques compostos. As organizações que dependem de defesas de camada única não estão em conformidade com o padrão “apropriado e proporcional” do NIS2 para sistemas de IA de agentes.
🔧 Ações defensivas imediatas
- Audite sua cadeia de suprimentos de habilidades de IA — Faça um inventário de todas as habilidades e plug-ins de terceiros. Dado que 26% contém vulnerabilidades, assuma o comprometimento até verificação em contrário.
- Implementar assinatura criptográfica — Exigir verificação de assinatura para todas as instalações de habilidades. Rejeite plug-ins não assinados ou não verificados no momento do carregamento.
- Proteja os arquivos de memória do agente — Aplicar controles de acesso rigorosos à memória persistente (por exemplo,
MEMORY.md). Monitore gravações não autorizadas. Considere regras básicas imutáveis. - Defina limites de escopo para chamadas de ferramentas — Limitar explicitamente quais recursos do sistema cada agente pode acessar. Exija aprovação humana para modificações de firewall, encerramento de processos e outras ações de alto impacto.
- Implante análise comportamental em sequências de execução — Ataques em várias etapas que decompõem ações prejudiciais em etapas individualmente benignas evitam filtros estáticos. A análise comportamental capta o padrão.
- Separe caminhos de dados confiáveis de não confiáveis — Marque todo o conteúdo de origem externa e encaminhe-o por meio de um pipeline de processamento separado que não pode substituir a intenção do usuário.
- Teste todos os vetores de ataque 5 — Inclua envenenamento de habilidades, injeção indireta de alerta, envenenamento de memória, desvio de intenção e execução furtiva em seu escopo de teste de penetração.
🎯 Como KENSAI aborda essas vulnerabilidades
Os cinco vetores de ataque identificados pelos pesquisadores do Tsinghua/Ant Group são mapeados diretamente para os recursos automatizados de verificação de segurança do KENSAI. O mecanismo de verificação contínua do KENSAI foi construído para encontrar exatamente esses tipos de riscos sistêmicos – não apenas vulnerabilidades isoladas, mas caminhos de ataque compostos que abrangem múltiplas camadas:
- Digitalização da cadeia de suprimentos de habilidades de IA — Análise automatizada de plug-ins e repositórios de habilidades de terceiros para vulnerabilidades conhecidas, padrões maliciosos e manipulação de metadados
- Detecção imediata de injeção — Testes dinâmicos para vetores de injeção indireta de prompt em pipelines de entrada de agentes, incluindo recuperação da web e processamento de documentos
- Avaliação de segurança de configuração — Validação de controles de acesso à memória, sandbox de execução e limites de privilégios na estrutura da camada 5
- Simulação de Ataque Comportamental — Teste ativo para desvio de intenção e execução de comando furtivo usando sequências de ataque decompostas
- NIS2/Mapeamento de conformidade da Lei AI da UE — Geração automatizada de evidências para avaliações de conformidade em relação a todos os requisitos regulamentares relevantes
O artigo de pesquisa demonstra que 26% de habilidades da comunidade estão vulneráveis agora, hoje — e a maioria das organizações não tem visibilidade da superfície de ataque do agente de IA. KENSAI oferece essa visibilidade antes que os adversários o explorem.
Analise sua infraestrutura de agente de IA agora
KENSAI testa automaticamente todos os vetores de ataque 5 identificados na pesquisa de Tsinghua – envenenamento de habilidade, injeção imediata, envenenamento de memória, desvio de intenção e execução furtiva. Obtenha sua pontuação de segurança de IA em minutos.
Comece sua verificação gratuita de segurança de IAFique seguro,
A equipe de pesquisa de segurança KENSAI
Briefings diários de segurança baseados em inteligência de ameaças de IA. Atualizado todos os dias da semana.