Licitrasimone

O OpenHuman não neutraliza instruções nem limita campos descritivos ao inserir nomes, descrições, títulos e definições de parâmetros de servidores MCP externos no contexto do modelo do agente. A função `list tools` produz registros `McpRemoteTool` que preservam esse conteúdo remoto. Como o detector de injeção de prompt analisa apenas mensagens do usuário e não as definições do MCP, um servidor MCP comprometido ou malicioso pode fornecer descrições envenenadas. Essas descrições são avaliadas a cada turno do agente e podem manipular o modelo para divulgar dados, invocar outras ferramentas ou realizar ações não autorizadas.

A sincronização em segundo plano para serviços conectados, como e-mail, Slack e Notion, armazena conteúdo externo bruto e o coloca no contexto do modelo de agentes autônomos em segundo plano sem neutralizar instruções incorporadas. Como o ApprovalGate trata chamadas de ferramentas sem um contexto de chat interativo como automação pré-autorizada, conteúdo escrito por um invasor processado durante um ciclo de segundo plano pode influenciar o modelo a invocar ações do Composio sem apresentar uma solicitação de aprovação. Um invasor que consiga entregar conteúdo a uma conta conectada pode usar esse caminho para enviar ou encaminhar dados, postar mensagens, criar ou modificar conteúdo de terceiros ou divulgar informações da memória e integrações do OpenHuman. O problema requer uma integração ativa e a interpretação bem-sucedida das instruções injetadas pelo modelo.