Prompt “Repeat‑After‑Me” contorna seis principais frameworks de agentes de IA, revelam investigadores

Num artigo conjunto publicado a 9 de outubro de 2026, uma equipa académica composta por investigadores da Penn State, da Universidade de Montpellier e de Dartmouth descreveu uma nova técnica adversária designada “Repeat‑After‑Me”. O método manipula agentes orquestrados por IA para que executem chamadas de ferramentas fornecidas pelo atacante, contornando de forma eficaz os controlos de segurança normalmente incorporados nos frameworks.

Os autores testaram a técnica contra seis frameworks amplamente adoptados no ecossistema de agentes de IA: LangChain / LangGraph, Microsoft Agent Framework, Microsoft AutoGen, Google Agent Development Kit 2.0, AWS Strands Agents e CrewAI. Em todos os casos, os frameworks revelaram‑se vulneráveis ao prompt criado, conforme detalhado no estudo.

Mecanismo do prompt “Repeat‑After‑Me”

O ataque inicia‑se com um pedido aparentemente inocente que contém a expressão “repeat after me:”. O modelo de linguagem grande (LLM) interpreta essa frase como uma directiva para repetir literalmente o texto subsequente. Quando o texto repetido inclui uma carga útil que representa uma chamada de ferramenta, o framework trata‑a como um pedido legítimo e encaminha‑a para a ferramenta subjacente.

Na demonstração realizada com o LangGraph 1.2.0, o modelo Llama 3.1 8B (executado via Ollama) recusou inicialmente o pedido, mas ainda assim devolveu a cadeia bruta da chamada de ferramenta. Após uma reformulação hipotética do prompt, o modelo gerou uma chamada estruturada que foi efectivamente executada antes de a recusa ser processada, confirmando a viabilidade do exploit.

Alcance das vulnerabilidades identificadas

Para além do contorno baseado em prompt, os investigadores conduziram uma campanha de fuzzing em grande escala sobre 273 servidores de orquestração multi‑ferramenta (MCP) de código aberto. Encontraram 253 bugs de segurança verificados distribuídos por 118 servidores, afectando um total de 343 ferramentas distintas.

Entre as falhas mais graves, destacam‑se 64 vulnerabilidades de traversal de caminhos, 7 casos de falsificação de pedidos do lado do servidor (SSRF), 5 incidentes de fuga de dados e 3 vulnerabilidades de injeção de comandos ao sistema operativo. Os restantes bugs consistiam principalmente em problemas de injeção de saída ou de registo inadequado.

A framework de fuzzing ToFu

Para colmatar estas lacunas, os investigadores desenvolveram o ToFu, uma framework de fuzzing que extrai metadados das ferramentas, mapeia‑os para entradas CWE relevantes e gera automaticamente controlos de segurança. O ToFu cria harnesses e oráculos semânticos ao introspeccionar rastros de execução e ao sanitizar os resultados obtidos.

• Geração automática de harnesses de fuzzing a partir de especificações de ferramentas
• Oráculos semânticos construídos a partir da introspeção de execução
• Modelos de controlos de segurança baseados em CWE
• Testes em lote de milhares de instâncias de ferramentas
• Relatório de bugs verificados com cargas úteis reproduzíveis

O artigo sublinha que muitas ferramentas confiam implicitamente nas saídas dos LLM para a sanitização de entradas, mesmo quando essas entradas provêm de outras ferramentas ou de conteúdo externo. Essa confiança implícita amplia a superfície de ataque, permitindo explorações encadeadas através de múltiplos componentes orquestrados.

Os responsáveis pelo LangGraph foram notificados da ausência de controlos pré‑execução, mas até à data de redação não foi registada nenhuma resposta pública das equipas responsáveis pelos projetos LangChain, Microsoft, Google, AWS ou CrewAI.

Para organizações portuguesas que dependem destes frameworks de agentes, as conclusões implicam que qualquer fluxo de trabalho impulsionado por LLM e que integre ferramentas externas deve ser considerado vulnerável até que sejam implementadas mitigações concretas.

Entre as medidas imediatas recomendadas, destaca‑se a desactivação da execução automática de ferramentas, a imposição de validação rigorosa de todas as entradas que não provenham directamente do LLM e a integração de processos de fuzzing ao estilo ToFu nos pipelines de integração contínua (CI).

type":"paragraphe

texto":"A adoção destas boas práticas pode reduzir significativamente o risco de exploração nas fronteiras de confiança, sobretudo em contextos críticos como a automação de processos bancários ou a gestão de infraestruturas de energia em Portugal.

type":"paragraphe

texto":"Em Lisboa, várias startups de IA já iniciaram revisões internas dos seus pipelines de orquestração, reconhecendo que a vulnerabilidade exposta pelo prompt “Repeat‑After‑Me” representa um ponto de partida para ataques mais sofisticados que poderiam comprometer dados sensíveis de clientes e parceiros.