Abertura: Quando empresas brasileiras começaram a integrar modelos de linguagem de grande porte (LLM) em suas plataformas, a segurança passou a ser um ponto crítico. Em 12 de março de 2024, o portal Aliyun Security divulgou um relatório que expõe um novo vetor de ataque chamado “Agentic Skills Injection”, que visa explorar a lógica de execução de skills dentro desses modelos. O método combina neat injection, ofuscação semântica e um framework de defesa de três camadas, permitindo que agentes maliciosos introduzam código que é executado automaticamente pelo LLM, comprometendo dados sensíveis e a integridade dos sistemas.

O que são skills e por que são vulneráveis? Em LLMs, uma “skill” é essencialmente um conjunto de instruções que permite ao modelo executar ações específicas, como consultar bases de dados, chamar APIs externas ou manipular arquivos. O problema surge porque as skills são frequentemente carregadas e avaliadas em tempo de execução, sem controles rígidos de origem ou verificação de integridade. Se um atacante conseguir inserir uma skill maliciosa, 杀技术 (técnica de evasão) pode fazer com que o LLM ignore a verificação deMailbox, enquanto a ofuscação semântica mascararia o real propósito do código.

Contexto no Brasil
A adoção de LLMs no Brasil tem crescido rapidamente, impulsionada por empresas de fintech, saúde e varejo que buscam automação e análise preditiva. No entanto, a maioria dos desenvolvedores ainda confia em bibliotecas de terceiros que oferecem skills prontas, sem validar sua origem ou conteúdo. Isso cria um terreno fértil para ataques. Além disso, a Lei Geral de Proteção de Dados оно (LGPD) exige controle rígido sobre dados pessoais; a injeção de skills pode levar ao vazamento involuntário desses នៅ. Caso um LLM acesse dados sensíveis por meio de uma skill comprometida, a empresa pode sofrer sanções regulatórias e danos à reputação.

Mecanismo do ataque
1. Injeção de código (Agentic Skills Injection) – O atacante cria uma skill que contém comandos de código malicioso, como scripts de Python que extraem arquivos confidenciais ou fazem chamadas a servidores de comando e controle.
2. Ofuscação semântica – A skill utiliza truques de linguagens naturais, como gambiarras de linguagem ou símbolos que fazem a LLM interpretar instruções diferentes, contornando filtros de segurança de conteúdo.
3. Framework de defesa de três camadas – O modelo de segurança tradicional (verificação de assinatura, sandbox, monitoramento) pode ser burlado pois a skill é carregada como uma extensão legítima, passando despercebida nos testes automatizados.

Como a técnica contorna os scanners de segurança
A maioria dos scanners baseiam-se em análise estática de código fonte ou em detecção de padrões de sintaxe maliciosa. A ofuscação semântica altera o texto de forma que o scanner não reconheça as palavras-chave perigosas. Além disso, o LLM pode executar a skill em modo sandbox que não permite acesso a recursos críticos, mas o atacante pode usar chamadas indiretas (ex.: fazer o LLM enviar dados a um endpoint externo) que não são detectadas.

Recomendações práticas
Para mitigar esses riscos, especialistas sugerem duas abordagens:
1. Desenvolver skills internamente – Isso permite controle total sobre o código, a origem e as permissões. Além disso, a equipe de segurança pode auditar cada linha antes do envio ao modelo.
2. Adotar um caminho de auditoria completo – Se a equipe optar por usar skills de terceiros, cada skill deve passar por:
• Escaneamento automatizado por ferramentas de análise de código
• Avaliação de permissões de acesso (quais recursos a skill pode acessar?)
• Revisão manual de caminhos sensíveis, garantindo que não haja chamadas que exponham dados pessoais
• Confirmação de origem das dependências (verificar hashes, certificados)
• Execução em sandbox com monitoramento de rede, garantindo que a skill não DAS.

Além desses passos, é crucial manter os modelos atualizados e monitorar logs de execução para detectar padrões incomuns. A implementação de uma política de “zero confiança” – onde nenhuma skill é considerada confiável sem validação – pode reduzir significativamente o risco.

Perspectiva futura
Os modelos de linguagem estão evoluindo rapidamente, com novas versões lançadas em ritmo mensal. Isso significa que um vetor de ataque que funciona hoje pode se tornar ainda mais sofisticado em poucos meses. Empresas que mantêm a vigilância constante, investem em formação de equipes de segurança e estabelecem processos de revisão de skills terão vantagem competitiva. Por outro lado, quem depender apenas de políticas de segurança genéricas pode enfrentar brechas graves.

Em resumo, a ameaça de Agentic Skills Injection mostra que a segurança em LLMs não pode ser tratada como um mero complemento; ela precisa ser integrada desde o design até a operação. No Brasil, onde a LGPD impõe responsabilidades claras sobre o tratamento de dados, a adoção de práticas robustas de desenvolvimento e auditoria de skills não é apenas recomendada — é obrigatória para evitar sanções e proteger a confiança dos usuários.

Fonte: Aliyun Security