Prompt injection explora role confusion

Ataques de prompt injection que exploram confusão de papel não dependem de falhas de conteúdo, mas de padrões de estilo. Modelos como gpt-oss-20b não validam se um texto veio do sistema ou do usuário, eles avaliam se o formato soa como sua própria saída interna. Quando um atacante replica o ritmo, pontuação e estrutura de blocos como ou , o modelo trata a entrada maliciosa como parte do próprio raciocínio. Isso quebra a lógica de segurança baseada em tags, pois a confiança passa a depender de como algo é escrito, não do que foi dito.

A técnica de destyling funciona porque quebra essa simulação estilística. Alterar espaçamento, trocar aspas por apóstrofos, remover quebras de linha ou usar caixa mista torna o texto inócuo aos olhos do modelo, mesmo que o significado permaneça idêntico. É um contra-ataque que não exige ajustes no modelo, só na entrada. Empresas que passam dados externos para LLMs sem sanitização estilística estão expostas a injeções que nem precisam de palavras proibidas, só de um bom imitador de linguagem interna.

Essa vulnerabilidade não é um bug isolado: ela expõe uma falha estrutural nas arquiteturas atuais de LLMs. Sistemas que confiam em tags como para delimitar privilégios estão operando com uma ilusão de segurança. Se o modelo não entende contexto, apenas padrão, qualquer entrada que se pareça com sua própria voz pode ser aceita como autorizada. Isso afeta desde chatbots corporativos até ferramentas de suporte automatizado, onde usuários maliciosos podem manipular respostas sem usar termos bloqueados. A solução não está em reforçar filtros, mas em tratar todo texto externo como potencialmente malicioso, e reescrevê-lo antes da entrada.