Verifica cada turno em busca de injeção antes que uma ferramenta seja acionada, não apenas o prompt de entrada. O VeriSwarm Guard executa duas camadas de detecção — análise estrutural de padrões rápida, seguida por um classificador DeBERTa auto-hospedado — inteiramente dentro de sua própria infraestrutura. Nenhuma chamada a uma API de detecção de terceiros, nenhum payload de requisição sai do seu perímetro para obter um veredito.
Um system prompt reforçado e uma avaliação red-team impecável não impedem o ataque que realmente importa em produção. Um agente lê um chamado de suporte, e uma instrução oculta no corpo do chamado o instrui a consultar um registro de cobrança e encaminhar o resultado para um webhook. O modelo nunca viola seu system prompt — ele chama uma ferramenta. A ferramenta é executada. Os dados saem. A detecção precisa ser executada sobre o texto que está prestes a acionar uma chamada de ferramenta, não apenas sobre o que o usuário digitou.
O argumento completo sobre por que as defesas na camada de prompt não cobrem esse caminho de ataque está em A injeção de prompt não para no LLM. Ela flui através das chamadas de ferramentas..
Baseado em regex, sem custo de modelo. Detecta manipulação em nível de protocolo — injeção de delimitadores de formato de chat (marcadores falsos <|im_start|>, [INST], e marcadores semelhantes destinados a confundir o modelo sobre onde uma mensagem termina e outra começa) e payloads contrabandeados dentro de base64 ou codificações semelhantes. São sinais estruturais, não correspondências de palavras-chave, por isso disparam em truques de protocolo que uma wordlist deixaria passar completamente.
Um modelo baseado em DeBERTa (protectai/deberta-v3-base-prompt-injection-v2) é carregado uma única vez e servido localmente via ONNX Runtime. Ele lê a intenção em vez de padrões superficiais, o que permite capturar um ataque reformulado, uma injeção multilíngue ou uma técnica de evasão nova o suficiente para não corresponder a nenhum padrão conhecido. Se o modelo não conseguir carregar, a detecção recorre à análise estrutural em vez de falhar em modo aberto.
As duas camadas são executadas em ordem — primeiro a estrutural, porque é mais barata e já intercepta de cara os ataques mais evidentes, e depois o classificador para tudo o que a análise estrutural ainda não sinalizou.
POST /v1/suite/guard/scan recebe um corpo { "text": "...", "scan_injection": true, "scan_moderation": true } e retorna { "flagged": bool, "injection": {...}, "moderation": {...}, "summary": "..." }. O objeto injection carrega a categoria correspondente, uma pontuação de confiança e qual camada produziu o veredito. Chame-o em qualquer texto que possa acionar uma chamada de ferramenta antes que essa chamada dispare — uma mensagem do usuário, conteúdo recuperado de uma base de conhecimento, um payload de webhook vindo de uma integração upstream.
O Guard Proxy é a camada de interceptação MCP transparente da VeriSwarm, e a varredura de injeção é uma etapa fixa em seu pipeline: cada resposta que retorna de um servidor de ferramentas é verificada quanto a tentativas de injeção antes de chegar ao agente, junto com a tokenização de PII e a aplicação de políticas. Aponte o cliente MCP do seu agente para o proxy em vez do servidor de ferramentas diretamente — zero mudanças de código no lado do agente.
A varredura por turno detecta uma tentativa de injeção que aparece em uma única mensagem. Alguns ataques não fazem isso — eles acumulam risco ao longo de toda uma conversa, uma tentativa em gotejamento lento para extrair um system prompt ou exfiltrar um valor canário um pequeno passo de cada vez. O Session Sentry funciona como uma camada complementar que pontua o risco em toda a sessão em vez de por turno, ao lado de — não em substituição a — as camadas estrutural e DeBERTa descritas acima.
A detecção de injeção impede que uma chamada de ferramenta manipulada seja disparada. É um problema relacionado, mas distinto, do que acontece quando uma legítima chamada de ferramenta carrega PII que não deveria — abordado em Como evitar que um agente de IA vaze dados. O Guard executa ambas as verificações no mesmo pipeline.
Porque o payload não precisa parecer um jailbreak para ser perigoso. Uma instrução oculta em um chamado de suporte ou em uma página da web extraída pode deixar o próprio system prompt do modelo intacto e ainda assim mudar qual ferramenta é chamada, com quais argumentos, sobre os dados de quem. No momento em que a chamada chega ao servidor de ferramentas, o modelo já está fora do circuito e é o protocolo que é executado. Verificar a resposta antes que a chamada de ferramenta dispare captura essa classe de ataque; verificar apenas o prompt de entrada não captura.
A camada um é a análise estrutural — detecção baseada em regex de manipulação em nível de protocolo, como injeção de delimitadores de formato de chat (marcadores falsos <|im_start|> ou [INST] destinados a confundir o modelo sobre os limites das mensagens) e contrabando via base64/codificação. É rápida e captura ataques que nem sequer exigem compreensão semântica. A camada dois é um classificador de machine learning que lê a intenção real do texto, capturando ataques reformulados, injeções multilíngues e técnicas de evasão inéditas que a mera correspondência de padrões deixa passar.
Um classificador baseado em DeBERTa (protectai/deberta-v3-base-prompt-injection-v2), carregado localmente e servido via ONNX Runtime dentro da própria infraestrutura da VeriSwarm. Não há chamada de saída para uma API de detecção de injeção de terceiros, e nenhum payload de requisição sai do limite do seu tenant para obter um veredito — a detecção é totalmente autocontida. Se o modelo falhar ao carregar por qualquer motivo, a detecção recorre apenas à análise estrutural, em vez de falhar em modo aberto.
Sim — POST /v1/suite/guard/scan recebe { "text": "...", "scan_injection": true, "scan_moderation": true } e retorna { "flagged": bool, "injection": {...}, "moderation": {...}, "summary": "..." }. O campo injection traz a categoria, uma pontuação de confiança e qual camada (structural ou ml) produziu o veredito. Chame-o em qualquer texto não confiável — uma mensagem de usuário, conteúdo RAG, um payload de webhook — antes que ele chegue a uma etapa capaz de acionar uma chamada de ferramenta.
Não se você já estiver executando o Guard Proxy. O Guard Proxy é a camada de interceptação MCP transparente da VeriSwarm, e a varredura de injeção de prompt é uma etapa em seu pipeline fixo: cada resposta que retorna de um servidor de ferramentas é verificada quanto a tentativas de injeção antes de chegar ao agente, junto com a tokenização de PII e a aplicação de políticas — zero mudanças de código no lado do agente. A API de varredura direta existe para os casos em que você queira verificar o texto você mesmo, fora do caminho do proxy.
Sim, como uma camada separada e complementar. O Session Sentry acumula sinais de risco ao longo de toda uma conversa — exposição de tokens canário, tentativas de extração do system prompt — em vez de pontuar um único turno isoladamente, o que captura uma tentativa de exfiltração em gotejamento lento que nenhuma mensagem individual acionaria sozinha. Ele funciona ao lado das camadas estrutural e DeBERTa por turno, não em substituição a elas.
O Guard — incluindo a detecção de injeção baseada em varredura e a varredura automática do Guard Proxy — é um recurso do plano Max. O nível gratuito do Gate te dá primeiro a pontuação de confiança e a visibilidade de eventos; é no Guard que a aplicação é ativada.
A detecção de injeção do Guard — a API e a varredura automática do Guard Proxy — é um recurso do plano Max. O nível gratuito do Gate te dá primeiro a pontuação de confiança e a visibilidade de eventos.