Token Smuggling em LLMs: O Que É e Como Proteger Suas Aplicações

A segurança em modelos de linguagem evoluiu rapidamente com o surgimento de filtros de conteúdo e guardrails de segurança. No entanto, atacantes descobriram uma vulnerabilidade sutil na camada base do processamento de texto: a tokenização de LLMs.

Essa técnica é chamada de token smuggling e permite burlar filtros de moderação sem alterar o significado do ataque. Entender esse vetor de ataque é vital para quem desenvolve e protege aplicações com inteligência artificial corporativa.

O Que É Token Smuggling e Como Funciona

O token smuggling ocorre quando um atacante oculta instruções maliciosas dividindo, codificando ou mascarando caracteres para que o filtro de segurança não detecte a ameaça, mas o modelo a interprete corretamente. Isso explora a diferença entre a análise de texto bruto feita pelos guardrails e a representação vetorial interna do LLM.

Enquanto os sistemas de defesa tradicionais buscam por palavras proibidas em texto simples, a manipulação de subwords e encodings permite que a instrução passe despercebida. Ao reunir os fragmentos na janela de contexto, o modelo executa o comando malicioso bypassando a camada de moderação.

Os 4 Pilares do Token Smuggling e Formas de Ataque

Para mitigar essa vulnerabilidade, é preciso entender as principais variações técnicas utilizadas pelos atacantes:

1. Fragmentação de subwords

O atacante insere hífens, espaços ou caracteres nulos dentro de palavras sensíveis para que o tokenizer do modelo reconstrua a palavra inteira enquanto o filtro regex falha ao tentar identificar o termo proibido.

2. Obscurecimento por codificação

Instruções são convertidas para Base64 ou Unicode no prompt. Filtros superficiais não decodificam a entrada, mas o LLM é capaz de decodificar e executar o comando malicioso durante a inferência.

3. Confusão de homóglifos e caracteres especiais

Substituição de letras do alfabeto latino por caracteres cirílicos semelhantes ou delimitadores invisíveis. A inspeção visual e os sistemas de palavras-chave ignoram a string, mas o modelo processa o significado pretendido.

4. Contrabando via payload em RAG

Em arquiteturas RAG, documentos infectados contêm tokens escondidos em metadados ou trechos de texto aparentemente inofensivos que ativam comportamentos maliciosos após a busca vetorial.

Exemplo Prático de Bypass por Token Smuggling

Considere um sistema de suporte automatizado configurado com guardrails para bloquear vazamento de chaves de API:

• O prompt direto bloqueado:: Uma tentativa simples contendo instruções de extração de credenciais é barrada imediatamente pelo filtro de palavras-chave da aplicação.
• O prompt codificado que passa:: O atacante envia o mesmo comando codificado em Base64 com instruções de decodificação, contornando a camada de regex.
• A execução pelo modelo:: O LLM processa o contexto, decodifica a mensagem internamente e aciona o vazamento de dados confidenciais sem disparar o alarme inicial.

Esse cenário demonstra como a falta de inspeção na camada de tokenização compromete a segurança de toda a aplicação.

Erros Comuns na Proteção contra Token Smuggling

• Confiar apenas em regex simples:. Validar entradas utilizando apenas listas de palavras proibidas deixa a aplicação completamente vulnerável a variações de codificação e homóglifos.
• Ignorar a decodificação de payloads:. Deixar de sanitizar e padronizar o encoding antes de enviar o texto para os guardrails cria brechas diretas para o contrabando de instruções.
• Não auditar a base vetorial em RAG:. Assumir que dados recuperados do banco vetorial são seguros sem aplicar Red Teaming em documentos introduz ataques indiretos de prompt injection.

Como Proteger Suas Aplicações de IA

A mitigação efetiva contra token smuggling exige defesas em camadas. É indispensável normalizar textos em Unicode, aplicar decodificação recursiva antes de passar pelos guardrails e utilizar sistemas de detecção semântica em vez de simples bloqueios por palavras.

Além disso, realizar testes contínuos de estresse e simulações de ataque é a única forma de garantir que sua arquitetura de LLM permaneça resiliente frente a novas técnicas de contorno.