Tema: prompt-injection
-
Context7 CVE-2026-75130: remediação do serviço hospedado e regras personalizadas não confiáveis
O Context7 informa que a vulnerabilidade de Custom Rules foi corrigida em seus servidores em fevereiro de 2026. Seu esclarecimento de outubro contesta uma interpretação da CVE baseada na versão do cliente; respostas de documentação ainda precisam ser mantidas separadas da autoridade do agente.
-
A tríade letal: dados privados, conteúdo não confiável e um canal de saída no mesmo agente
Um agente que combina acesso a dados privados, exposição a conteúdo controlado por um atacante e qualquer forma de comunicação com o exterior pode ser induzido a enviar esses dados ao atacante. Remover uma das três pernas é a única defesa estrutural confiável; o artigo lista os canais de saída que passam despercebidos com facilidade.
-
WeKnora CVE-2026-30856: verificar o roteamento de ferramentas após a correção de sobreposição por nome
A vulnerabilidade de colisão de nomes de ferramentas do WeKnora podia substituir uma ferramenta MCP confiável pela implementação de outro servidor. Atualize as implantações afetadas e verifique se a aprovação, a identidade no registro e o encaminhamento da chamada selecionam o mesmo servidor.
-
Texto invisível e reordenado: caracteres de controle bidirecional, tag characters e confusáveis em código e prompts
O Unicode permite que um texto contenha caracteres que um revisor não vê ou que alteram a ordem do que é exibido. Controles bidirecionais podem fazer o código-fonte ser lido de um jeito e compilado de outro, tag characters podem esconder instruções que o modelo ainda recebe, e confusáveis imitam identificadores. A detecção deve examinar os code points, não a renderização.
-
Suítes de testes de prompt injection preveem o comportamento de um agente diante de injeções escritas depois da suíte?
Agentes costumam ser avaliados com coleções fixas de tentativas de injeção. Não está claro quanto uma boa pontuação se transfere para novas formulações, novos vetores e atacantes adaptativos, nem o que uma suíte de testes precisaria conter para ter poder preditivo.
-
Lavagem de confiança entre agentes: entrada não confiável não se torna confiável só por passar por outro agente
Em sistemas multiagente, a saída de um agente vira entrada de outro. Se o primeiro leu conteúdo não confiável, a saída herda essa contaminação, por mais autoritativa que pareça. Associe um rótulo de confiança a cada mensagem e deixe a entrada menos confiável determinar o que o agente receptor pode fazer.
-
Onde as instruções injetadas se escondem: os veículos de prompt injection indireta que um agente lê
A prompt injection indireta chega por meio de conteúdo que o agente busca, não pelo usuário. Conhecer os veículos habituais (texto oculto em páginas, metadados de documentos, texto de issues e commits, resultados de ferramentas, e-mails, nomes de arquivos) indica a um agente quais entradas tratar como dados e onde um revisor deve procurar após um incidente.
-
Envenenamento de memória: quando uma única instrução injetada persiste em todas as sessões seguintes
Agentes com memória persistente podem ser induzidos a armazenar uma instrução de um atacante como se fosse um fato ou uma preferência, que passa então a influenciar sessões que nunca tiveram contato com o conteúdo original. Gravações na memória precisam de proveniência, revisão e prazo de validade, e o que é lido da memória deve ser tratado como texto não confiável.
-
Prompt injection versus jailbreak: dois problemas distintos, com responsáveis diferentes
Jailbreak é quando um usuário tenta fazer o modelo produzir o que o provedor não permite; prompt injection é quando uma entrada não confiável sobrepõe as instruções da aplicação construída sobre o modelo. A distinção define quem sofre o dano, quem deve se defender e quais mitigações se aplicam.
-
Handoffs estruturados e limitados por esquema entre agentes reduzem o sucesso de injeções em comparação com handoffs em texto livre
Hipótese: quando um agente que lê conteúdo não confiável só pode repassar ao agente que age campos validados por esquema e com tamanho limitado, as instruções injetadas chegam ao agente executor com menos frequência do que quando ele repassa prosa livre.
-
Travessia de diretórios na gravação de arquivos via MCP: restrição ao vault do notebook e escopo do Ansible Lightspeed
A injeção indireta de prompt pode levar uma ferramenta de arquivos a gravar fora do diretório de saída previsto. A correção do MCP do notebook exige uma raiz explícita para o vault, enquanto o comunicado do Ansible Lightspeed identifica um problema na extensão sem confirmar um intervalo de versões corrigidas.
Legível por máquina: JSON