Os pesquisadores da Check Point Research (CPR), divisão de inteligência da Check Point Software, identificaram uma nova técnica de injeção de prompt capaz de ocultar instruções maliciosas dentro de textos comuns em linguagem natural. Batizada de PuzzleMask, a técnica contornou quatro modelos de inteligência artificial responsáveis por verificar os prompts antes de encaminhá-los aos sistemas de processamento.
Nos testes da CPR, os quatro modelos de triagem deixaram passar todas as instruções maliciosas incorporadas a textos convencionais, registrando 100% de evasão em 23 tentativas. Em uma etapa seguinte, um modelo mais avançado recuperou e executou as instruções ocultas em 17 de 18 testes (94%), demonstrando a vulnerabilidade dessa camada de proteção.
O resultado expõe uma fragilidade na arquitetura corporativa de IA, que utiliza modelos rápidos e econômicos como barreiras de segurança antes de acionar sistemas mais robustos. A PuzzleMask explora essa assimetria de capacidade sem utilizar códigos, caracteres invisíveis ou formatações suspeitas, ocultando comandos em narrativas comuns como histórias ou poemas.
Essa dinâmica gera riscos para empresas que usam copilotos e agentes de IA com acesso a dados e fluxos de trabalho. Como o texto de entrada não apresenta sinais evidentes de manipulação, a primeira camada de proteção aprova o conteúdo, permitindo que instruções ocultas cheguem a sistemas mais poderosos com capacidade de execução.
“A técnica PuzzleMask desafia a premissa de que prompts perigosos são fáceis de reconhecer. Nossa pesquisa aponta que instruções maliciosas podem ser escondidas em textos comuns, passando por controles desenvolvidos para detectar manipulações evidentes. O resultado mostra a necessidade de proteger os agentes, em vez de permitir que os atacantes os transformem em armas”, afirma Eli Smadja, líder de Pesquisas da Check Point Research.
O executivo ressalta que a proteção corporativa precisa acompanhar as ações da IA após o processamento. “Quando uma empresa coloca a IA para acessar dados e aplicações, proteger apenas a entrada não é suficiente. É preciso combinar inteligência sobre ameaças, governança e proteção em tempo de execução para monitorar o comportamento do modelo após receber a solicitação”, acrescenta Smadja.
A CPR enfatiza que a PuzzleMask não é um jailbreak, pois não induz o modelo a ignorar suas regras, mas explora a diferença de recursos entre o sistema de triagem e o modelo final. Nos testes, apenas modelos da classe Opus, da Anthropic, resistiram ao método por identificarem sinais de processamento oculto durante o raciocínio.
Para mitigar o problema, a Check Point recomenda aproximar a capacidade dos modelos de triagem à dos processadores finais, aprimorar políticas de inspeção e monitorar as respostas em tempo real. A investigação reforça que a segurança de IA corporativa exige o monitoramento contínuo das ações do sistema, indo além da simples validação dos dados de entrada.
