Um artigo de segurança publicado em 12 de agosto por pesquisadores da Shenzhen University documenta um ataque de supply-chain que ameaça implementações de agentes LLM em produção: Convergent Detour Hijacking (CDH). O ataque é marcante—uma tarefa corretamente completada não prova um caminho de execução seguro. Um agente sob CDH finaliza no prazo enquanto consome 66,91% mais tokens e executa 92,45% mais lentamente, sem nenhum sinal de comprometimento na saída final.
CDH explora o design de progressive-disclosure usado pela maioria das plataformas de skills em produção. Esses sistemas, incluindo OpenClaw, carregam apenas os metadados de uma skill no momento da seleção, e então buscam o corpo completo da instrução após a skill ser escolhida. Essa abordagem em dois estágios é eficiente, mas cria dois pontos de controle possuídos pela editora da skill. Uma editora maliciosa manipula a descrição para ser co-selecionada com skills legítimas. Uma vez que o corpo carrega, ela introduz passos de pré-requisito e verificação que soam plausíveis, criando loops desnecessários. O desvio completa a tarefa original, mas cada salto desnecessário drena tokens e tempo decorrido.
O ataque requer apenas texto. Uma editora maliciosa escreve uma skill estática e nunca toca no agente novamente. Nenhum payload executável. Nenhum acesso aos internals do modelo. Nenhuma manipulação de ferramenta em tempo de execução. CDH funciona porque planejadores LLM respeitam cadeias de dependência localmente plausíveis. Se um corpo de skill diz "execute primeiro uma verificação de saúde de baseline", o planejador a agenda. Os pesquisadores enquadram isso como uma propriedade estrutural, não um bug específico do modelo: plausibilidade local não garante necessidade.
Testes em 491 tarefas em múltiplos backends LLM demonstraram a eficácia do ataque. No DeepSeek-V4-Pro, a skill coordenadora do atacante foi selecionada em 80,02% das tarefas. Entre as execuções completadas, o consumo de tokens aumentou 66,91% e o tempo de ponta a ponta aumentou 92,45%. A conclusão geral das tarefas permaneceu comparável ao baseline limpo—o ataque evita quebrar tarefas, porque falhas atraem escrutínio.
A paisagem mais ampla de supply-chain é precária. Um artigo concorrente CCS 2026 sobre roteadores de API LLM descobriu que 1 roteador pago e 8 gratuitos de 428 estudados injetaram código malicioso em respostas de tool-call. Dezessete acessaram credenciais canário de propriedade de pesquisadores na AWS; um drenou ETH de uma chave privada de propriedade de pesquisador. Um ataque de dependency-confusion em março de 2026 comprometeu LiteLLM, expondo cada requisição de API em voo de implementações a jusante à inspeção em plaintext. Um segundo artigo sobre Semantic Compliance Hijacking descobriu que o marketplace SkillsMP hospeda mais de 631.813 skills não-secured. Ataques sem payload codificados como regras em linguagem natural alcançaram taxas de bypass de 11,6% a 33,5% em quatro frameworks de agentes.
Os pesquisadores de CDH extraem a implicação diretamente: descrições de ferramenta enganosas causam que agentes selecionem ferramentas de forma não confiável, e descrições persuasivas são escolhidas mais frequentemente. Isso não é conjectura de caso extremo—é o princípio operacional que CDH explora, e a mesma propriedade estrutural que torna cada marketplace de skills aberto uma superfície de ataque ativa.
Para arquitetos, a lição é direta: seu monitoramento está incompleto. Correção de saída e taxas de aprovação não detectam manipulação de trajetória. Você precisa de auditoria de trajetória—registrando quais skills foram selecionadas, em que ordem, e se cada passo foi necessário—além de registros allow-listed que tratam skills de terceiros como não confiáveis por padrão. Os ganhos de eficiência do progressive disclosure permanecem válidos, mas equipes executando marketplaces de skills abertos agora estão executando uma verificação que não podem ver contra um ataque projetado para passar em cada verificação que podem executar.