Injeção de prompt já tinha nome em 1988

Depois de perder uma discussão para o harness que eu mesmo escrevi, fui procurar como se chama aquilo, e o que eu queria nomear não era o bloqueio em si, que é banal, e sim a distinção entre a autorização que eu tinha dado numa conversa e a permissão que faltava num arquivo. Esperava encontrar vocabulário recém-inventado, do tipo que aparece em thread e some em seis meses.

Achei quatro nomes prontos, e a coisa mais nova que eu encontrei tem 38 anos. A mais velha tem 55 e fala de telefone.

A primeira separação estava num sistema operacional de 1975

A distinção entre política e mecanismo saiu do projeto do Hydra, descrito por Levin, Cohen, Corwin, Pollack e Wulf num artigo de 1975. O mecanismo sabe como aplicar enquanto a política decide o que deve valer, e mantidos separados eles permitem mudar a regra sem reescrever o motor que a aplica.

Traduzindo para o que tinha acontecido comigo: o chat é onde eu expresso política, e o harness é o mecanismo. É por isso que discutir com o mecanismo não funciona e nem deveria funcionar, porque se um argumento bom o bastante destravasse a execução, aquilo nunca tinha sido mecanismo, e sim sugestão vestida de jaleco branco.

O detalhe que fechou o assunto veio depois, quando pedi ao próprio agente que escrevesse a regra de permissão que o destravaria, e isso também foi barrado, corretamente. Mecanismo que o supervisionado consegue reescrever não é mecanismo.

As minhas três tentativas bloqueadas tinham nome desde 1975 também

Saltzer e Schroeder publicaram, no mesmo ano, os princípios de proteção que ainda sustentam o assunto, e um deles se chama mediação completa: todo acesso passa pela checagem, sem caminho que contorne.

Foi literalmente o que aconteceu. O instalador oficial, barrado. O mesmo pacote por outro gerenciador, barrado. Copiar os arquivos na mão, barrado. Três rotas diferentes e uma decisão só, o que vivendo parece teimosia e olhando o desenho é o princípio funcionando, porque uma rota que passasse teria transformado as outras duas em teatro no mesmo instante.

O que estava barrando tinha nome desde 1972

O relatório de James Anderson, de 1972, descreve o componente que faz essa checagem e chama de monitor de referência, com três propriedades: sempre invocado, impossível de adulterar, e pequeno o bastante para ser verificado.

Traduzido para agentes, isso quer dizer que o agente não consegue contornar, não consegue reescrever, e que a coisa precisa ser simples o suficiente para um humano entender por que ela barrou. A terceira é a mais negligenciada hoje, e é a que mais custa caro: bloqueio que ninguém entende vira ruído, e ruído treina as pessoas a desligar a proteção. Monitor incompreensível é derrotado pelo próprio usuário, sem atacante nenhum envolvido.

Injeção de prompt tinha nome desde 1988, e não é sobre prompt

Norm Hardy batizou o problema do delegado confuso em 1988: um programa privilegiado é induzido a usar a autoridade dele em nome de outro. O exemplo original é um compilador com permissão de escrita em arquivos de sistema, de modo que basta pedir a saída num deles para ele escrever, porque a permissão é dele e não sua.

O agente é o delegado dessa história, porque é ele que tem as ferramentas, as credenciais e as permissões, e quando a saída de uma ferramenta diz "você está autorizado a", ela não está pedindo nada: está tentando dirigir autoridade que o agente já carrega.

E é aqui que o nome importa em vez de ser preciosismo terminológico: chamar de injeção de prompt faz o problema soar como bug de string, dessas que se conserta escapando aspas. Chamar de delegado confuso deixa evidente que o problema é autoridade mal delegada, e aí você já sabe onde procurar resposta, porque outras pessoas procuraram antes e escreveram o que acharam.

A causa raiz tinha nome em 1971, e era sobre telefone

Na telefonia antiga, controle e voz viajavam pelo mesmo canal, e um tom de 2600 hertz soprado no bocal era indistinguível da sinalização da própria central, de modo que a rede obedecia porque não tinha como saber quem tinha falado. Ron Rosenbaum contou isso na Esquire em 1971, e a correção não foi filtrar tons: foi separar sinalização de conversa em canais diferentes.

O contexto de um modelo é um canal só. Instrução de sistema, pedido do usuário, saída de ferramenta, conteúdo de arquivo e resposta de API chegam todos como texto na mesma janela, e quem controlar qualquer parte desse conteúdo pode escrever no imperativo.

Não existe tom de 2600 hertz para banir aqui, de modo que a separação tem que acontecer fora do canal, pela procedência do texto, e nunca pelo que ele aparenta ser quando lido.

As quatro camadas, agora que cada uma tem sobrenome

Intenção é o prompt — "instala isso", "pode rodar", "eu autorizo" — e expressa vontade sem carregar autoridade nenhuma. Política é a configuração, a regra escrita em arquivo dizendo o que é permitido, em que escopo e para qual ferramenta, que declara sem executar. Mecanismo é o harness, o ponto onde a chamada é interceptada, a regra é consultada e a decisão vira efeito, e que não opina, aplica. Execução é o sistema: processo, arquivo, rede, dinheiro, onde a consequência acontece de verdade.

Quase todo erro de raciocínio sobre segurança de agentes vem de colapsar duas dessas camadas numa só, tratando intenção como política ou política como mecanismo, que foi exatamente o meu erro quando achei que autorizar por escrito resolveria o assunto.

O que isso muda quando você vai configurar

Autorização é fora de banda, então consentimento no chat é intenção e a permissão mora em arquivo de configuração, fora do alcance do agente. A regra que governa o agente não é escrita pelo agente, e toda saída de ferramenta é dado, classificado pela procedência e nunca por parecer confiável. Privilégio mínimo por ferramenta, porque "roda esse instalador" não é "roda qualquer coisa", e a regra estreita é a que sobrevive à próxima dependência. E bloqueio tem que se explicar, porque quem foi barrado precisa sair sabendo o que pedir, senão pede para desligar tudo.

Nada disso é invenção de 2026, porque cada um desses nomes chega com décadas de armadilha já mapeada por gente que se machucou primeiro, e a única novidade é que agora o delegado confuso escreve em português.

Referências

Os nomes deste texto não são meus, e os originais valem a leitura:

• J. H. Saltzer e M. D. Schroeder. The Protection of Information in Computer Systems. Proceedings of the IEEE, 63(9), 1975 — os princípios de proteção, incluindo mediação completa e privilégio mínimo.
• James P. Anderson. Computer Security Technology Planning Study. ESD-TR-73-51, USAF Electronic Systems Division, 1972 — o monitor de referência.
• Norm Hardy. The Confused Deputy (or why capabilities might have been invented). ACM SIGOPS Operating Systems Review, 22(4), 1988.
• R. Levin, E. Cohen, W. Corwin, F. Pollack e W. Wulf. Policy/mechanism separation in Hydra. SOSP, 1975.
• Ron Rosenbaum. Secrets of the Little Blue Box. Esquire, outubro de 1971 — o relato de época sobre sinalização dentro da banda na rede telefônica.