Falhas em frameworks de agentes vão além de prompt injection

Falhas em frameworks de agentes: o problema está na infraestrutura, não no modelo

Pesquisadores da Check Point passaram um ano tentando quebrar os principais frameworks de agentes de IA usados por empresas - LangChain, LangGraph, CrewAI, AutoGen, Microsoft Agent Framework e Google ADK - e encontraram 11 vulnerabilidades, algumas críticas. A conclusão: o problema não é apenas prompt injection, mas a incapacidade dos frameworks de manter conteúdo controlado pelo atacante no plano de dados.

Bug classes antigas em contexto novo

Segundo Shahar Tal, "quase nenhuma era uma classe de bug completamente nova". São desserialização insegura, SSRF, path traversal e use-after-free - falhas conhecidas há 20 anos, agora presentes na camada sobre a qual agentes de IA leem e-mails e atualizam bancos de dados. "Um bug em um framework de agente não é um bug em um produto - é um bug na camada sobre a qual uma categoria inteira de apps de IA roda", afirmou.

Caso Microsoft: RCE via checkpoint

A equipe encontrou uma desserialização insegura nos checkpoints do Microsoft Agent Framework. Checkpoints são snapshots do estado do agente (histórico de conversa, progresso de tarefa) serializados em armazenamento persistente. Via prompt injection, o agente carregava dados de checkpoint não confiáveis, permitindo execução remota de código. "Uma pessoa planta o payload numa mensagem, outra pessoa rebobina a própria sessão, e o atacante ganha um shell no servidor", explicou Tal. A Microsoft pagou US$ 10.000 de bounty e corrigiu, mas não emitiu CVE porque o framework ainda não estava em disponibilidade geral.

Caso Google ADK: API sem autenticação

O ADK inclui um assistente de desenvolvimento embutido capaz de escrever arquivos, acessível via API HTTP mesmo sem aparecer na listagem do app. Um atacante pode pedir ao ADK que escreva um agente cujo código Python executa na importação, depois solicitar que o servidor rode o agente - resultando em execução de código arbitrário. Por padrão, não há autenticação na API, e em deploy no Cloud Run isso fica exposto sem credenciais, alcançando chaves de API e a service account do container. O Google inicialmente considerou o problema "não um bug", depois pagou US$ 3.133,70 e aplicou uma correção parcial, sem emitir CVE.

Recomendações

Os pesquisadores recomendam que defensores assumam que prompt injection vai acontecer e foquem no que o framework faz com a injeção. O problema é quando conteúdo do atacante influencia orquestração, memória, estado, roteamento e instruções de sistema. No total, a equipe recebeu US$ 17.133,70 em recompensas. A lição, segundo Tal, não é sobre um vendor específico: "as mesmas classes de bug aparecem em todos eles".