Um artigo submetido ao arXiv em 26 de agosto, "EVOMAL: Self-Poisoning in Self-Evolving Coding Agents," descreve um modo de falha específico de agentes que se aprimoram ao escrever habilidades em uma biblioteca compartilhada e depois recuperá-las. É o resultado mais relevante da semana em segurança de agentes, e o número que será citado a partir dele é o errado.

O mecanismo

Agentes autorre evolutivos recuperam uma habilidade existente, imitam sua estrutura para escrever uma nova e armazenam o resultado para recuperação futura. O artigo mostra que, quando uma habilidade recuperada contém uma carga maliciosa envolta em código estrutural de aparência benigna — que os autores chamam de banner — o agente imitador reproduz a estrutura junto com a carga, depois salva e executa sua própria cópia. O atacante planta uma habilidade e nunca a aciona. Os agentes fazem a propagação, e cada cópia se torna fonte para a próxima. Habilidades plantadas se multiplicam por 4,9 a 9,0 vezes em uma biblioteca contaminada.

O que a leitura comum interpreta de forma errada

O resumo contém 86,7%, e esse é o número que as manchetes vão carregar. Ele é medido sob a condição mais favorável do artigo: quando as habilidades plantadas são adaptadas a famílias específicas de tarefas. O resultado geral — seis modelos, 153 tarefas — é uma taxa de autopoisão de 20,3% a 41,8%. Sem o banner estrutural, a taxa cai para 11,1% no DeepSeek-V4-Pro. Assim, a síntese honesta é que cerca de um em cada três a um em cada cinco execuções de agentes se autopoisona em condições realistas, o que já é alarmante sem o número adaptado, e que a técnica do banner é o que faz a maior parte do trabalho. Citar 86,7% como a taxa deturpa um ataque que exige preparação por família de tarefas como se fosse algo genérico.

O achado que deveria preocupar operadores

A persistência é o verdadeiro resultado. Depois que as habilidades originalmente plantadas são removidas da biblioteca, a autopoisão continua em 68% na quinta rodada no Qwen3. As próprias cópias dos agentes se tornaram a fonte da infecção. Isso rompe a resposta padrão a incidentes em um repositório de artefatos contaminado — identificar as entradas ruins, apagá-las e seguir em frente. Aqui, a eliminação das sementes deixa uma biblioteca que reinfecta, e não há uma forma óbvia de distinguir uma habilidade maliciosa derivada de uma legítima escrita no mesmo estilo da casa.

A defesa, e seus limites

Os autores propõem um contraprompt que reduz a taxa de autopoisão para no máximo 6,7%. É uma redução grande, mas não elimina o problema. Um residual de 6,7% contra um mecanismo que se acumula rodada após rodada e multiplica cópias de 4,9 a 9,0 vezes é um incêndio mais lento, não extinto. A conclusão estrutural — de que uma biblioteca de habilidades compartilhada, gravável e auto-recuperável é uma superfície de ataque que cresce com o uso — não é resolvida com prompting, e bibliotecas de habilidades compartilhadas são precisamente a direção em que as plataformas de agentes estão sendo construídas.