Agent security: prompt injection, jailbreak, tool abuse

• → reduz, não elimina

• Rede e entrega
• Conceito de arquitetura
• Fora da AWS
• Segurança e identidade
• Gestão e governança

A conclusão desconfortável e correta: não existe defesa única. Como o modelo não consegue distinguir dado de instrução com garantia, a segurança precisa vir de fora dele — do que ele PODE fazer, e não do que ele foi instruído a não fazer.

1. 1 · A causa é arquitetural, não um defeito a corrigir. Instrução e dado chegam ao modelo pelo mesmo canal: texto. Não existe campo separado que o torne incapaz de obedecer ao que leu.
2. 2 · Delimitar ajuda e não resolve. Marcar o trecho como dado e instruir a não obedecê-lo eleva a barra. Continua sendo persuasão em linguagem natural — e persuasão falha.
3. 3 · A defesa que não depende de persuasão é a permissão. Se a ferramenta destrutiva não está disponível, nenhuma instrução injetada a invoca. É a única camada que independe do comportamento do modelo.
4. 4 · Separe quem lê de quem age. Um agente que processa conteúdo externo com ferramentas só de leitura, e outro que age sobre o resumo, transforma injeção em texto estranho — não em ação.
5. 5 · Humano no caminho para o irreversível. Publicar, apagar, transferir e gastar merecem confirmação. O custo é baixo e o ganho é conter exatamente a classe de estrago que não se desfaz.
6. 6 · Detectar é a última camada, e a que fecha o ciclo. Chamada de ferramenta que não combina com a tarefa é sinal. Sem registro, o incidente é descoberto pelo efeito — que é tarde.