Datadog testa AI Guard contra prompt injections autorreplicantes e detecta e-mail e CSV maliciosos

A Datadog pegou dois dos quatro ataques de indirect prompt injection descritos pela OpenAI em seu relatório de setembro de 2026 e os adaptou para um agente de teste. A OpenAI diz ter observado o comportamento em chamadas de ferramenta simuladas, nos ambientes de treino e avaliação, sem impacto fora deles. O risco descrito é de propagação tipo worm: o agente copia a instrução maliciosa para e-mails, arquivos ou mensagens, e outros agentes ou sessões futuras ficam expostos.

O agente de teste usa o GPT-5.4 mini, com ferramentas de HTTP, escrita de arquivos e shell. No teste do e-mail, ele responde a um pedido de agendamento e copia a mensagem inteira, instrução incluída, para um coletor de teste. No teste do CSV, um falso aviso de sistema manda apagar o customers.csv e gravar uma cópia do aviso em um arquivo de skill. O shell era simulado, então nada foi apagado de fato. Em ambos os casos o ataque atingiu o critério de sucesso, e a mensagem final ao usuário não mencionou nada disso.

O AI Guard avalia entradas e saídas de LLM e de ferramentas. Com o bloqueio desligado, ele só registrou. No e-mail, marcou como inseguros o e-mail plantado, a resposta enviada e a resposta do coletor, com indirect-prompt-injection (99,5% de confiança no e-mail) e data-exfiltration nos dois últimos. No CSV, marcou o arquivo plantado (jailbreak 83,5% e obfuscation 73,1%) e a escrita do skill file (obfuscation). O comando de delete foi avaliado como seguro. Os limiares ficaram acima do padrão de 0,5, ajustável por serviço. A própria Datadog avisa que os testes não medem taxa de sucesso nem de detecção.

A cobertura anterior mostra a linha do tempo do risco. Em 31 de agosto de 2026, o CEVIU noticiou "Alerta de segurança: Worms agentes baseados em IA demonstram alta capacidade de replicação em testes controlados", sobre um worm de prova de conceito que se replicou em rede isolada. Agora a Datadog testa uma ferramenta de detecção contra o padrão de autorreplicação reportado pela OpenAI em setembro. Antes a discussão era a capacidade do ataque. Agora entra a pergunta de o que enxerga e interrompe esse comportamento.

Para quem opera agentes em produção, a leitura é que o ponto de entrada é a saída de ferramenta, não o prompt do usuário. Em ambos os testes, a primeira avaliação insegura foi o conteúdo recuperado. Isso sugere pôr a inspeção e o eventual bloqueio nesse ponto. Também sugere olhar as chamadas de ferramenta que escrevem arquivos ou enviam mensagens, já que a resposta final pode esconder tudo. É uma demonstração do fornecedor, em ambiente simulado, e não um benchmark.