Estudo mostra que ataques de memória podem sequestrar agentes de IA para transferir ativos de criptografia

Pesquisadores da Universidade de Princeton mostraram https://arstechnica.com/security/2025/05/ai-agents-that-autonomously-trade-cryptocurrency-arent-ready-for-prime-time/ que agentes de modelo de linguagem grande encarregados de carteiras de criptografia e operações de contrato inteligente podem ser sequestrados quando um invasor edita o contexto armazenado dos agentes, um ponto fraco que a equipe chama de "envenenamento de memória"

Seu estudo https://arxiv.org/pdf/2503.16248 argumenta que as defesas atuais, principalmente os filtros de prompt, fazem pouco quando o texto malicioso entra no banco de dados ou no armazenamento de vetores de um agente. Em experimentos, injeções curtas enterradas na memória superaram consistentemente as barreiras de proteção que teriam bloqueado o mesmo texto se ele tivesse chegado como um prompt direto.

A equipe validou o ataque ao ElizaOS, uma estrutura de código aberto cujos agentes de carteira atuam em instruções de blockchain. Depois de envenenar a memória compartilhada, os pesquisadores fizeram com que esses agentes assinassem chamadas de contrato inteligente não autorizadas e transferissem ativos de criptografia para endereços controlados pelo invasor, provando que o contexto fabricado se traduz em perda financeira real.

Como o ElizaOS permite que muitos usuários compartilhem um histórico de conversas, uma única sessão comprometida contamina todas as outras sessões que tocam a mesma memória. O artigo adverte que qualquer implementação multiusuário de agentes autônomos de LLM herda esse risco de movimentação lateral, a menos que as memórias sejam isoladas ou verificáveis.

Os autores recomendam tratar as memórias como registros somente de anexos, assinar criptograficamente cada entrada e encaminhar ações de alto risco - pagamentos e aprovações de contratos - por meio de um mecanismo de regras externo em vez de confiar no raciocínio do próprio modelo. Até que essas medidas se tornem padrão, entregar dinheiro real a agentes autônomos continua sendo uma aposta.