Strings censuradas pelo Deepseek funcionam como escudo contra agentes de pentest com IA

Utku Sen partiu de uma ideia simples: se certas strings fazem LLMs recusarem conteúdo, o que acontece quando elas ficam espalhadas em um site? Ele criou um arquivo, html_comments.go, importado em todas as páginas da aplicação vulnerável dele, só para injetar strings proibidas (como "Tank Man", além de referências a drogas e bombas) em comentários HTML. Também adicionou funções JavaScript falsas ao arquivo principal de JS, sem utilidade real. Os nomes delas existem só para disparar a recusa do modelo.

No teste com o Deepseek, o harness Pi navegou até o site e encerrou a sessão logo em seguida. Como Pi não foi feito para pentest, Sen repetiu com o ARTEX, e os agentes também falharam e se recusaram a trabalhar na aplicação. Ele conclui que usar essas strings pode funcionar como uma espécie de firewall. É um experimento isolado, com um modelo e uma aplicação própria, e a fonte não mede taxa de sucesso nem testa outros modelos.

O mesmo autor já aparecia na cobertura. Em 27 de outubro de 2026, o CEVIU noticiou "Teste compara três harnesses open source de pentest com LLM contra e-commerce vulnerável", em que Utku Sen avaliou Cairn, Artex e Strix contra um e-commerce deliberadamente vulnerável. Agora ele usa esse tipo de ambiente para o lado oposto: em vez de medir quem acha falhas, testa como barrar o agente. Há também a linha das defesas por engano. Em 16 de julho de 2026, o CEVIU publicou "Defensores de IA Adotam 'Context Bombing' para Neutralizar Ataques Agênticos", sobre a Tracebit inserir comandos proibidos para atrapalhar agentes, e em 28 de outubro de 2026 saiu "Context Bombs: técnicas de deception reduzem o sucesso de agentes de IA atacantes em testes da Tracebit". A ideia é parecida (conteúdo que sabota o agente), mas aqui o gatilho é a censura embutida do Deepseek, não um teste controlado em AWS.

Leitura editorial: para quem opera defesa, isso é curiosidade útil, não controle de segurança. Depende da censura de um modelo específico, e um atacante pode trocar de modelo ou filtrar comentários e nomes de funções antes de enviar o conteúdo ao LLM. Serve, no máximo, como camada extra de deception, ao lado de correção de falhas e monitoramento.