OpenEvoShield: proteção de sistemas multiagente de LLMs contra injeções que evoluem

Pesquisadores publicaram no arXiv, em julho de 2026, o OpenEvoShield, um framework de defesa contínua para sistemas multiagente baseados em grandes modelos de linguagem (LLM-MAS). Ao longo de 100 rodadas de implantação, ele reconhece a maioria dos ataques de injeção que nunca tinha visto, com baixa taxa de falsos positivos.

Contra quais ataques

O OpenEvoShield protege LLM-MAS contra a injeção de instruções maliciosas pela comunicação entre agentes. O invasor planta um comando em um agente, e este espalha o comportamento malicioso por todo o sistema na conversa com os outros agentes. Segundo os autores, esses ataques são "duplamente dinâmicos": os invasores aprimoram as estratégias de injeção contra a defesa já implantada, e o comportamento dos agentes normais sofre deriva à medida que o sistema cresce. Por isso, as defesas estáticas, treinadas uma única vez, perdem precisão rapidamente.

Como a defesa funciona

O OpenEvoShield foi construído como uma co-evolutionary continual defense: uma defesa que evolui junto com os ataques, em vez de ficar congelada depois do treinamento. De acordo com o preprint, o framework reúne quatro módulos.

• M1 — controlador assimétrico de velocidades: separa o aprendizado rápido do lado do ataque do aprendizado lento do lado do comportamento normal, com base em dois sinais de deriva
• M2 — atualização da fronteira da normalidade: mantém, de forma lenta, uma fronteira comportamental dinâmica dos agentes "normais"
• M3 — ensemble de políticas com regularização EWC: adapta-se rapidamente a novas ameaças sem o esquecimento catastrófico das antigas
• M4 — detector de energia de granularidade variável: combina características no nível de nó, subgrafo e grafo para classificar um ataque novo como anomalia fora da distribuição de treinamento
• Testes — 100 rodadas de implantação em 5 benchmarks e 4 topologias de sistemas multiagente

Por que a defesa convencional falha?

A defesa convencional falha porque trata a implantação como um "mundo fechado" e perde precisão assim que a distribuição dos ataques ou do comportamento normal sai do conjunto de treinamento. Segundo o arXiv, o OpenEvoShield resolve isso com velocidades de aprendizado separadas: o lado do ataque se ajusta rapidamente, enquanto a fronteira da normalidade é atualizada devagar, o que impede o sistema de confundir uma deriva gradual com um ataque. Nas 100 rodadas, os experimentos mostraram que o método supera tanto as abordagens estáticas quanto as baselines continual.

"O

OpenEvoShield supera os métodos estáticos e as baselines continual, detectando a maioria dos ataques nunca vistos com baixa taxa de falsos positivos", diz o resumo do preprint no arXiv.

O que isso significa

À medida que as empresas montam pipelines de produção com agentes de LLM, a segurança da comunicação entre agentes vira um problema de engenharia à parte. O OpenEvoShield aponta um caminho: a defesa precisa aprender de forma contínua e em tempo real, distinguindo a evolução dos ataques da deriva natural do sistema.

Perguntas frequentes

O que é um ataque pela comunicação entre agentes?

É quando um invasor insere uma instrução maliciosa na mensagem de um agente, e ela se propaga pelo sistema enquanto os agentes trocam dados. Segundo os autores, essa é a principal ameaça para sistemas multiagente de LLMs em tarefas críticas para a segurança.

Em que o OpenEvoShield foi testado?

De acordo com o preprint, o método passou por 100 rodadas de implantação em 5 benchmarks e 4 topologias de sistemas multiagente. Nessas condições, superou as abordagens estáticas e as baselines continual e detectou a maioria dos ataques novos, com baixa taxa de falsos positivos.