Prompt injection indireta: como uma resposta externa pode manipular um agente

Introdução

Em uma injeção direta, o usuário apresenta instruções não confiáveis. Na indireta, elas chegam dentro de um conteúdo que o agente consulta: um documento, uma página, um ticket ou uma resposta de ferramenta. A ameaça não depende de uma função exclusiva do MCP; aparece quando conteúdo externo entra no contexto de um sistema que pode executar ações.

Dados que parecem instruções

Suponha que um agente consulte um documento para resumi-lo. O texto pode incluir uma indicação dirigida ao próprio agente, como ignorar o objetivo original ou tentar compartilhar informações. O conteúdo pode estar visível ou misturado a material legítimo. O modelo pode ter dificuldade para distinguir a instrução do usuário da instrução incorporada na fonte.

“Marcar o texto como não confiável” pode ajudar a estruturar o processamento, mas não constitui, por si só, uma barreira de segurança. Tampouco existe uma sanitização geral que garanta que qualquer instrução maliciosa desaparecerá sem afetar o conteúdo útil.

Mitigações em camadas

Mantenha separadas, no projeto da aplicação, as instruções de controle e os dados recuperados; trate estes últimos como entrada não confiável.

Restrinja as ferramentas disponíveis às necessárias para a tarefa. Um agente que resume um arquivo não precisa, por padrão, de permissão para enviar mensagens ou modificar outros recursos.

Aplique autorização e validação no servidor e no serviço que executa a ação, não apenas no prompt. Solicite confirmação clara para ações sensíveis e mostre o que será enviado, a quem e com que efeito.

Limite o escopo de dados que o modelo pode ler e compartilhar. Monitore chamadas, erros e mudanças de contexto sem registrar segredos desnecessários. Teste com conteúdo adversarial controlado em um ambiente autorizado e registre se os controles detêm a ação, não apenas se o modelo “responde bem”.

Conclusão

A injeção indireta é um problema de interação entre conteúdo não confiável e autoridade de ação. A mitigação eficaz não consiste em confiar em um prompt perfeito, e sim em reduzir capacidades, impor controles externos e limitar o impacto de um erro.