ServiceNow: IA vulnerável a prompt injection

Pesquisadores da AppOmni alertam que configurações padrão da plataforma Now Assist (ServiceNow) permitem ataques de prompt injection aproveitando descoberta e colaboração entre agentes de IA.
Pelo mecanismo de “segunda ordem”, um atacante pode induzir um agente benigno a interpretar comandos ocultos em conteúdos acessados. Esse agente, então, recruta outro agente privilegiado para copiar dados sensíveis, modificar registros ou escalar privilégios, tudo a partir de uma interação aparentemente inofensiva, driblando proteções nativas de prompt injection.

Como o ataque funciona

A arquitetura da Now Assist facilita que agentes descubram e convoquem outros agentes do mesmo time por padrão.
Quando um agente lê campos externos (não inseridos pelo invocador), prompt injections podem ser “plantados” para acionar tarefas maliciosas via outros agentes — e as ações ocorrem “nos bastidores”, sem alerta ao usuário.

Os agentes geralmente operam com o privilégio do usuário que iniciou a interação, ampliando o impacto caso sejam acionados por prompt injection.

Pontos críticos do risco

• Descoberta automática de agentes e times por padrão.
• Agentes marcados como “descobertos” ao serem publicados.
• Configuração LLM padrão com suporte à descoberta (Azure OpenAI ou Now LLM).
• Ferramentas e canais podem ser configurados sem segmentação adequada.

Recomendações para proteção

• Configurar modo supervisionado para agentes privilegiados.
• Desabilitar a opção de override autônomo (“sn_aia.enable_usecase_tool_execution_mode_override”).
• Segmentar funções de agentes por equipes e monitorar operações suspeitas.
• Auditar regularmente as permissões e fluxos de informação entre agentes de IA.

O risco não é resultado de um bug, mas sim do comportamento padrão das configurações. Organizações devem revisar seus setups para reduzir exposição a ataques de prompt injection entre agentes.