Injeção de prompt via evidência forense: ataques anti-forenses contra investigações digitais assistidas por LLM
Um novo estudo propõe uma taxonomia de ataques anti-forenses que exploram o uso de LLMs como assistentes ou agentes autônomos em perícia digital, aproveitando o fato de que a evidência analisada é, por definição, controlada pelo atacante. Os autores demonstram três ataques práticos contra um pipeline de análise assistido por LLM: alterar a conclusão do laudo, gravar conteúdo escolhido pelo atacante na estação do analista e provocar tráfego de rede de saída — tudo isso a partir de texto plantado no próprio dispositivo apreendido.
O trabalho parte de uma inversão conceitual importante em relação à injeção de prompt tradicional: na maioria dos cenários de segurança, o conteúdo malicioso tenta se esconder de um examinador que decide se vai ou não prestar atenção a ele. Na perícia digital ocorre o oposto — o examinador é obrigado a examinar minuciosamente justamente o material que o suspeito controlou. Isso faz da camada de raciocínio do LLM usado como assistente de análise um novo alvo anti-forense, ao lado dos alvos clássicos que já conhecemos (dados e ferramentas), algo que as taxonomias anti-forenses tradicionais não cobrem e que as defesas de prompt injection existentes não antecipam.
O conceito central do artigo é o "gap de percepção": a mesma evidência é percebida de forma diferente por uma ferramenta determinística (que extrai strings, metadados, hexdump), pelo examinador humano (que vê uma representação visual ou resumida) e pelo modelo de linguagem (que recebe o texto bruto como contexto). Esse descompasso é o que permite que uma instrução maliciosa embutida em um arquivo, em metadado ou em log alcance o modelo sem que o analista humano a note na interface da ferramenta — por exemplo, texto branco sobre fundo branco em um PDF, ou uma string dentro de um campo de metadado que a ferramenta forense não costuma destacar visualmente.
A partir dessa observação, os autores propõem uma taxonomia de ataques organizada em quatro eixos: o objetivo do atacante (o que ele quer alcançar), a técnica de injeção usada, a localização do payload dentro da evidência e o método de ocultação empregado para que o conteúdo passe despercebido pelo examinador. Essa estrutura lembra os IOCs/TTPs de ataques convencionais, mas aplicada especificamente ao contexto em que o "atacante" é o material de prova, não um agente de rede ou um binário executável isolado.
Para provar que a ameaça é concreta e não apenas teórica, o grupo implementou três ataques contra um pipeline real de análise assistido por LLM: (1) manipular o laudo final para que o modelo chegue a uma conclusão diferente da correta; (2) fazer o modelo escrever, na estação de trabalho do analista, um arquivo com conteúdo escolhido pelo atacante; e (3) induzir o ambiente de investigação a gerar tráfego de rede de saída — todas as três a partir unicamente de texto plantado no dispositivo apreendido, sem exploração de nenhuma vulnerabilidade de software tradicional. Os autores também propõem mitigações, embora o detalhamento completo dessas contramedidas exija a leitura do artigo completo.
O impacto prático é direto para qualquer laboratório forense que já esteja testando ou pretenda adotar LLMs para triagem, resumo de evidências ou geração de laudos: se o pipeline alimenta o conteúdo bruto da evidência (arquivos, e-mails, logs, metadados) diretamente no contexto do modelo sem sanitização e sem validação independente da conclusão, a cadeia de custódia da "opinião" do assistente pode ser corrompida pelo próprio suspeito. Isso tem implicações sérias de admissibilidade judicial e de integridade do processo investigativo, e sugere que qualquer adoção de LLMs em fluxos periciais precisa de isolamento de execução, validação cruzada do laudo por métodos determinísticos e tratamento da evidência como entrada não confiável por padrão — exatamente como já se trata qualquer binário suspeito em uma sandbox.