Prompt “Repita‑Depois‑De‑Mim” Contorna Seis Principais Estruturas de Agentes de IA, Mostram Pesquisadores

Em um artigo conjunto publicado em 9 de outubro de 2026, uma equipe de acadêmicos da Penn State, da Universidade de Montpellier e da Dartmouth descreveu uma nova técnica adversária chamada “Repita‑Depois‑De‑Mim”. O método engana agentes orquestrados por IA a executar chamadas de ferramenta fornecidas pelo atacante, contornando efetivamente as verificações de segurança embutidas nos frameworks mais populares do mercado.

Os pesquisadores testaram a técnica contra seis estruturas amplamente usadas: LangChain / LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents e CrewAI. Todas as seis se mostraram vulneráveis ao prompt criado, segundo o estudo, que demonstra que a falha não está restrita a um único fornecedor, mas permeia a maioria das pilhas de orquestração de agentes de IA disponíveis atualmente.

Como o Prompt “Repita‑Depois‑De‑Mim” Funciona

O ataque começa com um pedido aparentemente inocente que inclui uma frase como “repita depois de mim:”. O grande modelo de linguagem (LLM) interpreta a frase como uma instrução para ecoar o texto subsequente literalmente, sem aplicar filtros adicionais. Quando o texto ecoado contém uma carga útil que representa uma chamada de ferramenta – por exemplo, um JSON que invoca uma API externa – a estrutura de agente a trata como uma solicitação legítima e a encaminha para a ferramenta subjacente, executando-a sem a devida validação.

Na demonstração realizada com o LangGraph 1.2.0, o modelo Llama 3.1 8B via Ollama inicialmente recusou o pedido, mas ainda assim emitiu a string crua da chamada de ferramenta. Após uma reformulação hipotética do prompt, o modelo gerou uma chamada estruturada que foi executada antes que a recusa fosse processada, confirmando a viabilidade do exploit e mostrando que a ordem de avaliação interna pode ser manipulada pelo atacante.

Âmbito das Vulnerabilidades

Além do contorno baseado em prompt, os autores conduziram uma campanha de fuzzing em larga escala em 273 servidores de orquestração multi‑ferramenta (MCP) de código aberto. O esforço revelou 253 bugs de segurança verificados em 118 servidores, afetando 343 ferramentas distintas, o que evidencia a extensão do problema em ambientes reais de produção.

A distribuição dos achados mais graves inclui 64 falhas de percurso de caminho, 7 problemas de falsificação de solicitação do lado do servidor (SSRF), 5 incidentes de vazamento de dados e 3 vulnerabilidades de injeção de comando de sistema operacional. Os demais bugs eram, em sua maioria, problemas de injeção em saída ou logs, que ainda podem ser explorados para escalada de privilégios ou exfiltração de informações sensíveis.

Apresentando o Framework de Fuzzing ToFu

Para suprir essas lacunas, os pesquisadores lançaram o ToFu, um framework de fuzzing que lê metadados de ferramentas, mapeia‑os para entradas CWE relevantes e gera automaticamente verificações de segurança. O ToFu cria harnesses e oráculos semânticos ao introspectar rastros de execução e sanitizar resultados, permitindo que desenvolvedores testem milhares de combinações de chamadas de ferramenta de forma sistemática.

• Geração automática de harnesses de fuzzing a partir de especificações de ferramentas
• Oráculos semânticos construídos a partir de introspecção de execução
• Modelos de controle de segurança baseados em CWE
• Testes em lote de milhares de instâncias de ferramentas
• Relatórios de bugs verificados com cargas úteis reproduzíveis

O artigo observa que muitas ferramentas confiam implicitamente nas saídas do LLM para sanitização de entrada, mesmo quando essas entradas provêm de outras ferramentas ou de conteúdo externo. Essa confiança implícita amplia a superfície de ataque, permitindo exploits encadeados em múltiplos componentes orquestrados e dificultando a detecção precoce de comportamentos maliciosos.

Os mantenedores do LangGraph foram notificados sobre a ausência de controles pré‑execução, mas nenhuma resposta pública foi registrada das equipes por trás do LangChain, Microsoft, Google, AWS ou CrewAI até o momento da escrita, o que levanta questões sobre a transparência e a velocidade de resposta da comunidade de código aberto frente a vulnerabilidades críticas.

Para organizações de língua portuguesa que utilizam essas estruturas de agentes, os resultados significam que qualquer fluxo de trabalho impulsionado por LLM que incorpore ferramentas externas deve ser considerado vulnerável até que mitigação concreta seja implementada. Medidas imediatas incluem desativar a execução automática de ferramentas, impor validação rigorosa de entrada fora do LLM e integrar fuzzing no estilo ToFu ao pipeline de CI para revelar falhas de confiança antes que possam ser weaponizadas.

Em São Paulo, onde várias fintechs e startups de IA adotam rapidamente esses frameworks para automatizar processos de crédito e atendimento ao cliente, a descoberta do “Repita‑Depois‑De‑Mim” trouxe um alerta urgente. Equipes de segurança locais já estão revisando suas arquiteturas e planejando a adoção do ToFu como parte integrante das rotinas de teste, a fim de proteger dados sensíveis de milhões de usuários brasileiros.