Duas equipes de segurança testam prompt injection no Jev: um anúncio que desvia um agente e uma política falsa que esconde ataques
publicado (OK do Fabricio 18/10 BRT).
Dois textos de segurança publicados nesta semana testam quanto o Jev aguenta prompt injection. Medem coisas diferentes, e nenhum muda nossas notas, que não têm subcritério de robustez adversarial.
HiddenLayer, 14 de outubro (post de pesquisa, Kenneth Yeung e Kasimir Schulz). A equipe montou uma página de checkout simulada em que um anúncio fica por cima dos botões e deixou um harness de agente (“jev-ultrafast”) escolher onde clicar. Um anúncio com injeção conseguiu desviar o clique. A HiddenLayer diz que funcionou no seu próprio modelo System One Qwen3.8-27B, no Jev da TypeSafe via API e no gpt-6-luna via API Decisions da OpenAI, neste com “a little less consistency”. O The Register (15/10) conta que o Jev “succumbed less often” e que a TypeSafe não tinha respondido até a publicação. Num segundo teste, com 30 prompts tóxicos, todos foram sinalizados na base, e muitos passaram depois de perturbações direcionadas (a técnica TokenBreak). Não citamos os percentuais que aparecem só nas figuras do post.
Datadog Security Labs, 15 de outubro (artigo, Nick Frichette e Feras Al-Kassar). A equipe usou o Jev como detector de injeção em 12.295 amostras de quatro datasets públicos. Com uma pergunta noul simples, chegou a 99,66% de precisão e 82,90% de recall. Quando uma política falsa foi colocada na frente da requisição, o recall caiu para 3,88% (precisão de 100%), e ele deixou passar todos os ataques de dois dos datasets (zachz e Yanismiraoui). Com uma pergunta choice, o recall caiu de 85,46% para 9,69%. Num portão de risco de ferramentas do LangChain, com limite de bloqueio em 0,5, o is_risky médio de um ataque foi de 0,893 para 0,290 em 40 execuções (injeção simples, 0,905).
Como ler. A Datadog mediu se o juiz sinaliza uma injeção, não se um sistema a jusante foi comprometido, e os resultados de agente da HiddenLayer vêm do harness dela. Os dois mostram o mesmo padrão: texto colocado ao lado do que está sendo julgado pode mexer na resposta de um modelo de decisão. A documentação da TypeSafe já lista enquadramento adversarial ou injetado como ponto fraco conhecido (veja a ficha do Jev), e o benchmark da Red Hat de 2 de outubro achou que modelos de decisão não superam guardrails clássicos de forma confiável. Se você usa um modelo de decisão como portão, teste seus próprios ataques, inclusive uma política falsa dentro da entrada, antes de confiar nele.