Desenvolvedores de malware há muito tempo adaptam seu código e suas táticas às defesas e à fiscalização que provavelmente encontrarão pelo caminho. Usando diversos métodos de evasão e anti-análise, eles costumam tentar dificultar a análise de código ou impedir que o malware revele seu comportamento real durante a inspeção. Outras ferramentas (destacando-se os EDR killers, documentados amplamente pela equipe de pesquisa da ESET) vão direto atrás das próprias soluções de segurança.
Com o uso cada vez maior de ferramentas baseadas em LLM para auxiliar em diversas tarefas de segurança, incluindo triagem e análise de código, era apenas uma questão de tempo até que grupos cibercriminosos começassem a buscar formas práticas de também driblar essas ferramentas. Além das técnicas convencionais de evasão, alguns estão adotando uma abordagem diferente: a entrada adversarial, criada para atrapalhar a análise, é deixada bem à mostra.
A equipe de pesquisa da ESET identificou recentemente uma tentativa desse tipo em um VBScript utilizado pelo grupo alinhado à Rússia UAC-0099 nos estágios iniciais de um ataque contra um alvo na Ucrânia. Ao inserir, no comentário do script, um pedido isca de orientação sobre como construir uma arma nuclear, o cibercriminoso tinha como objetivo acionar as barreiras de segurança de um scanner de código baseado em LLM, fazendo com que ele interrompesse a inspeção do restante do arquivo antes mesmo de chegar ao código malicioso. O objetivo do script era baixar e instalar o MATCHBOIL, um loader utilizado exclusivamente por esse grupo para entregar payloads adicionais.
Essa técnica simples, batizada pela ESET de GuardBreaker, se baseia justamente no tipo de "pedido" que os modelos de LLM costumam recusar:
Diferentemente de muitos outros truques do repertório de evasão dos invasores, esse comentário isca fica visível para "todo mundo" (especialmente para os modelos que analisam o código). Além disso, ele não tem efeito algum sobre o comportamento do script em tempo de execução, claro. Ainda assim, sua presença sugere que o UAC-0099 já estava levando em conta a existência de um sistema de IA nas defesas do alvo, assim como em outros ataques recentes, quando o grupo também verificou a existência de processos associados a ferramentas de análise consagradas, como o IDA e o Wireshark.
A anti-análise mira em outro alvo
O GuardBreaker é mais bem compreendido como uma tentativa bastante simples de injeção de prompt: a entrada do invasor chega ao LLM no momento da inferência, por meio de um arquivo que está sendo analisado. Dessa forma, a técnica busca explorar uma fragilidade arquitetural presente nos LLMs atuais, que processam conteúdo não confiável e instruções confiáveis sem uma separação segura entre os dois.
Tentativas semelhantes de interferir em scanners baseados em LLM têm surgido principalmente em ataques à cadeia de suprimentos de software. Por exemplo, a empresa de cibersegurança Socket identificou instruções de sistema forjadas e conteúdo criado para acionar políticas de segurança, posicionados antes de um payload em JavaScript em pacotes maliciosos do PyPI. Ao relatar essa mesma campanha mais ampla, a StepSecurity encontrou um prompt que instruía diretamente qualquer modelo de análise que interpretasse o arquivo a ignorar o código malicioso e classificar o pacote como seguro. Em outro incidente, pesquisadores identificaram um pacote npm cujo arquivo JavaScript principal repetia a frase "You're absolutely right!" dezenas de milhares de vezes, na tentativa de esgotar a janela de contexto do modelo e deixar o script malicioso seguinte fora do alcance de uma análise viável.
Invasores também poderiam tentar "cegar" o pipeline de análise diante do malware por meio de outros truques triviais, ou até combinações deles: arquivos incomuns ou estruturados de forma estranha poderiam acabar sendo truncados ou analisados apenas parcialmente. Algumas partes do código malicioso poderiam ser escondidas sob o pretexto de conterem informações confidenciais ou outros dados sensíveis.
Outros ataques poderiam usar tipos de arquivo personalizados, que exigiriam processamento específico das ferramentas dos próprios invasores, enquanto outros ainda poderiam induzir agentes de IA a executar ações que exigem revisão humana, gerando atrasos e explorando o tempo de resposta. Agentes que acionam ferramentas externas, como desempacotadores ou desofuscadores, ampliam ainda mais a superfície de ataque, já que essas chamadas poderiam, em alguns casos, ser sequestradas para a entrega e execução de malware.
Quem está no comando?
O GuardBreaker reforça uma lição que os profissionais de cibersegurança já conhecem bem: qualquer tecnologia capaz de afetar as chances de sucesso de um invasor acabará se tornando alvo dele. Empresas que dependem de revisões de código baseadas em LLM e outros fluxos de trabalho assistidos por essa tecnologia precisam saber exatamente o que cada ferramenta desse tipo inspeciona, qual é o seu papel na cadeia de decisão, além do que acontece quando ela se recusa a responder ou não consegue concluir uma tarefa.
O mais importante, porém, é que nenhum motor de LLM deveria ter, sozinho, a autoridade de decidir se um trecho de código é seguro. A saída gerada por IA precisa passar por uma validação cruzada, com uma abordagem multicamadas e com múltiplos modelos, que aproveite ao máximo tanto a automação avançada quanto a experiência humana. Da mesma forma, a ausência de uma resposta também deve acionar verificações adicionais.
Organizações de todos os portes também precisam de um caminho claro que vá da prevenção à detecção e à resposta. Para aquelas que não contam com equipes de segurança próprias disponíveis 24 horas por dia, os serviços de detecção e resposta gerenciadas (MDR) podem oferecer o acompanhamento necessário, permitindo que um especialista investigue qualquer incidente suspeito, inclusive no contexto de outras atividades observadas no ambiente, e defina os próximos passos. Essa abordagem funciona melhor quando construída sobre décadas de uso das tecnologias fundamentais de IA, métodos de análise testados e comprovados, julgamento especializado, pesquisa de ameaças e telemetria global. Dessa forma, qualquer empresa pode garantir que a ação de um único modelo de LLM não se transforme em um ponto cego nas defesas cibernéticas da organização.
