Agent Anomaly Detection sinaliza 87% das instruções prejudiciais em benchmarks externos

O Google testou o Agent Anomaly Detection, recurso em Private Preview na Gemini Enterprise Agent Platform, contra cinco benchmarks públicos que não foram escritos por ele: AgentDojo, InjecAgent, Agent Security Bench (ASB), AgentDyn e AgentHarm. Em quatro deles, a instrução prejudicial vem escondida em dados devolvidos por uma ferramenta. No quinto, o usuário pede o dano diretamente. Foram 1.774 sessões avaliadas, com um agente feito no ADK usando gemini-2.5-flash em apps simulados. Um código Python determinístico do próprio benchmark lê o estado final dos apps e rotula a sessão, então a injeção não engana o avaliador.

O número de 87% vale só para instruções que o agente executou. Por benchmark: 85% no AgentDojo, 87% no InjecAgent, 99% no AgentDyn e 81% no AgentHarm. Considerando todas as sessões prejudiciais, inclusive as que o agente nunca leu ou resistiu, a taxa fica entre 45% e 62%. O ponto fraco é poisoned memory: das 18 sessões em que instruções plantadas na memória de longo prazo fizeram o agente agir, o recurso pegou 4. Os falsos alarmes ficaram em 2% a 4% nos três benchmarks de injeção e em 16% no AgentHarm, onde as tarefas benignas usam ferramentas de alto impacto. Há ainda um requisito de histórico: no AgentDyn, a detecção foi de 33% com cerca de 220 sessões benignas por agente e de 99% com 360. Cerca de 6% das sessões ficaram sem resultado, e contá-las como erro reduz as taxas em 1 a 2 pontos.

A cobertura anterior do CEVIU trata de temas próximos, mas de outros produtos e estudos. Em 4 de novembro de 2026, o CEVIU noticiou "Datadog testa AI Guard contra prompt injections autorreplicantes e detecta e-mail e CSV maliciosos", um produto diferente de segurança para agentes. Não há evolução do mesmo produto do Google no material, apenas outro teste do mesmo tipo de problema.

Para quem opera agentes em produção, a leitura é que detecção posterior ajuda, mas não substitui bloqueio prévio. O próprio texto recomenda defesa em profundidade. Se o seu agente usa ferramentas de alto impacto ou é novo, espere mais alertas no início e planeje triagem por severidade. Quem depende de memória de longo prazo precisa de outra camada de proteção, já que essa é a lacuna mais clara.