Tencent DSH Segurança: Taxa de Sucesso de Injeção Indireta de Prompt de 17-25,5%, Como Fazer a Proteção em Tempo de Execução?

DeepSeek Harness (DSH) é o framework de orquestração de agentes de código aberto mais popular recentemente, com mais de 10 mil estrelas no GitHub. No entanto, o recente artigo de avaliação de segurança da equipe Tencent AI-Infra-Guard (arXiv:2608.16393) revela um fato alarmante: em testes controlados, a taxa de sucesso de ataques de injeção indireta de prompt chega a 17%-25,5%.

I. Descobertas Principais do Artigo

A equipe da Tencent realizou uma avaliação de segurança sistemática do DSH, com as principais descobertas incluindo:

1. Injeção Indireta de Prompt: O atacante injeta comandos maliciosos através de fontes de dados externas (páginas da web, arquivos, retornos de API), e o agente executa sem perceber, com uma taxa de sucesso testada de 17%-25,5%.
2. Excesso de Permissão em Chamadas de Ferramentas: O DSH carece de verificação de permissão em tempo de execução para chamadas de ferramentas MCP, permitindo que ferramentas maliciosas induzam o agente a executar operações inesperadas.
3. Saídas Não Verificadas: As saídas do agente são passadas diretamente para ferramentas downstream, sem uma camada de verificação de estrutura e semântica.
4. Contaminação da Cadeia de Confiança entre Ferramentas: Um servidor MCP comprometido pode influenciar toda a cadeia de decisão do agente através dos valores de retorno das ferramentas.

Endereço do artigo: https://arxiv.org/abs/2608.16393

II. Desdobramento da Superfície de Ataque

No arquétipo do DSH, o agente se comunica com ferramentas externas através do protocolo MCP. O caminho de ataque é o seguinte:

Conteúdo externo controlado pelo atacante → Retorno da ferramenta MCP → Contexto do agente → Acionamento de operação maliciosa

O ponto chave é: o ataque não é direcionado diretamente ao LLM, mas utiliza a característica do agente de "confiar no retorno da ferramenta". A filtragem de entrada tradicional é completamente ineficaz — porque o payload malicioso vem das ferramentas chamadas "pelo próprio" agente.

Os vetores de ataque testados no artigo incluem:

• Injetar comandos em conteúdo da web para sobrepor a tarefa original do agente.
• Injetar comandos ocultos através de metadados de arquivos.
• Utilizar valores de retorno de ferramentas que contêm URLs para acionar SSRF.
• Aumentar gradualmente as permissões através de chamadas encadeadas de ferramentas.

III. Ideias de Proteção em Tempo de Execução

A filtragem do lado da entrada não é suficiente; é necessário interceptar em tempo de execução antes da execução da chamada da ferramenta e antes do consumo da saída da ferramenta:

Antes da Chamada (Guardrail):

• Verificar se os parâmetros da chamada da ferramenta estão de acordo com o schema esperado.
• Detectar injeções de comando, SSRF, travessia de caminho e outros payloads maliciosos.
• Determinar se há excesso de permissão com base na intenção da chamada (não apenas correspondência de palavras-chave simples).

Após a Saída (Verificação):

• Verificar se a estrutura do retorno da ferramenta está de acordo com a declaração.
• Detectar características de injeção de prompt no conteúdo retornado.
• Realizar verificação de integridade nos fluxos de dados entre ferramentas.

IV. Implementação do Correctover

Nós open-sourcamos o Correctover — um plugin de segurança em tempo de execução para DSH, que insere uma camada de verificação na cadeia de chamadas de ferramentas:

const { GuardrailProvider } = require('correctover');

const guardrail = new GuardrailProvider({
  mode: 'audit',
  dimensions: ['structure', 'schema', 'identity', 'integrity', 'security']
});

Capacidades principais:

• Verificação em Tempo de Execução em 7 Dimensões: Estrutura/Schema/Latência/Custo/Identidade/Integridade/Segurança.
• Motor de Compreensão Semântica: Não é apenas correspondência de palavras-chave, mas sim compreensão da intenção do código.
• Latência de sub-milisegundo: Validação central do Node.js P50≈2.7μs.
• Independente de Framework: Suporta não apenas DSH, mas qualquer framework de agente baseado em MCP.

Instalação Rápida

npm install correctover

Usuários do DSH podem ativar o plugin diretamente:

// dsh.config.js
module.exports = {
  plugins: ['correctover/dsh']
};

Ambientes não DSH podem usar o modo standalone:

const { scanToolCall, verifyOutput } = require('correctover');

const result = scanToolCall({
  tool: 'execute_command',
  args: { command: userInput }
});
if (result.verdict === 'BLOCK') {
  // Interceptar chamadas maliciosas
}

V. Filosofia do Audit-First

O maior problema das ferramentas de segurança é a interrupção de negócios normais devido a falsos positivos. O Correctover opera por padrão no modo audit-only:

1. Primeiro observa e registra, sem bloquear.
2. Ajusta regras com base no tráfego real.
3. Após confirmação de ausência de falsos positivos, muda para o modo enforce.

Isso é muito mais prático do que uma abordagem que bloqueia imediatamente — você pode primeiro saber que está "sendo atacado", e então decidir como se proteger.

VI. Considerações Finais

Frameworks de orquestração de agentes como o DSH estão se tornando cada vez mais populares, e a superfície de ataque também está aumentando. O valor deste artigo da Tencent reside em provar com dados que: a proteção de segurança atual dos frameworks de agentes é gravemente insuficiente, e a verificação em tempo de execução não é uma opção, é uma necessidade.

O padrão CCS (Correctover Conformance Shape) do Correctover já foi submetido como um rascunho ao IETF (draft-correctover-ccs), com o objetivo de estabelecer um framework universal para a verificação em tempo de execução de agentes.

• npm: https://www.npmjs.com/package/correctover
• Código fonte: https://codeberg.org/correctover-labs/correctover

A segurança não é uma funcionalidade adicionada posteriormente, é algo que deve estar presente desde o início da execução do agente.

Este artigo é uma análise técnica baseada no artigo público da equipe Tencent AI-Infra-Guard (arXiv:2608.16393), todos os dados de teste são citados do artigo original.