Avaliando Vazamento de System Prompt em Modelos de Linguagem Locais: Pipeline e Estudo de Caso sobre Ataques de Turno Único
Resumo
O uso crescente de modelos de linguagem de grande e pequeno porte (Large/Small Language Models — LLMs/SLMs) em aplicações que combinam instruções operacionais com informações sensíveis no system prompt expõe esses modelos a ataques de prompt injection. Este artigo propõe um pipeline automatizado e reproduzível e um estudo de caso sobre a suscetibilidade de modelos de linguagem executados localmente a ataques de prompt injection de turno único, projetados para extrair instruções internas e um segredo protegido em um system prompt. O pipeline é validado por uma implementação funcional baseada em Docker, N8N e Ollama. O estudo de caso aplica cinco modelos e três ataques de prompt injection. Nos cenários avaliados, os resultados indicam que modelos maiores não garantem maior segurança contra os ataques realizados.Referências
Das, B. C., Amini, M. H., and Wu, Y. (2025). System prompt extraction attacks and defenses in large language models.
Li, Z., Guo, J., and Cai, H. (2025). System prompt poisoning: Persistent attacks on large language models beyond user injection.
Menegazzi, D. and Canedo, E. (2026). Privacy risks associated with the use of llms in software development. In Anais do XXII Simpósio Brasileiro de Sistemas de Informação, pages 201–216, Porto Alegre, RS, Brasil. SBC. DOI: 10.5753/sbsi.2026.248323
Mesquita, L. A. and Oliveira, S. A. (2026). A systematic review on language model compression: Perspectives for efficiency and sustainability in information systems. In Anais do XXII Simpósio Brasileiro de Sistemas de Informação, pages 1084–1103, Porto Alegre, RS, Brasil. SBC. DOI: 10.5753/sbsi.2026.248723
OWASP Foundation (2025). OWASP top 10 for llm applications 2025. [link].
Paim, K., Mansilha, R., Kreutz, D., Franco, M., and Cordeiro, W. (2025). Exploiting latent space discontinuities for building universal llm jailbreaks and data extraction attacks. In Anais do XXV Simpósio Brasileiro de Cibersegurança, pages 417–431, Porto Alegre, RS, Brasil. SBC. DOI: 10.5753/sbseg.2025.11448
Perez, F. and Ribeiro, I. (2022). Ignore previous prompt: Attack techniques for language models. DOI: 10.48550/arXiv.2211.09527
Pfister, N., Volhejn, V., Knott, M., Arias, S., Bazińska, J., Bichurin, M., Commike, A., Darling, J., Dienes, P., Fiedler, M., Haber, D., Kraft, M., Lancini, M., Mathys, M., Pascual-Ortiz, D., Podolak, J., Romero-López, A., Shiarlis, K., Signer, A., Terek, Z., Theocharis, A., Timbrell, D., Trautwein, S., Watts, S., Wu, Y.-H., and Rojas-Carulla, M. (2025). Gandalf the red: Adaptive security for llms.
Singh, S., Nan, Y., Wang, A., D’Souza, D., Kapoor, S., Üstün, A., Koyejo, S., Deng, Y., Longpre, S., Smith, N. A., Ermis, B., Fadaee, M., and Hooker, S. (2025). The leaderboard illusion.
Wang, J., Yang, T., Xie, R., and Dhingra, B. (2024). Raccoon: Prompt extraction benchmark of llm-integrated applications. In Findings of the Association for Computational Linguistics ACL 2024, page 13349–13365. Association for Computational Linguistics.
Yang, Y., Fu, C., Zhang, T., Zeng, R., Li, Q., Du, T., Wang, Z., Ji, S., and Chen, W. (2026). Understanding and mitigating prompt leaking attacks in real-world llm-based applications.
Li, Z., Guo, J., and Cai, H. (2025). System prompt poisoning: Persistent attacks on large language models beyond user injection.
Menegazzi, D. and Canedo, E. (2026). Privacy risks associated with the use of llms in software development. In Anais do XXII Simpósio Brasileiro de Sistemas de Informação, pages 201–216, Porto Alegre, RS, Brasil. SBC. DOI: 10.5753/sbsi.2026.248323
Mesquita, L. A. and Oliveira, S. A. (2026). A systematic review on language model compression: Perspectives for efficiency and sustainability in information systems. In Anais do XXII Simpósio Brasileiro de Sistemas de Informação, pages 1084–1103, Porto Alegre, RS, Brasil. SBC. DOI: 10.5753/sbsi.2026.248723
OWASP Foundation (2025). OWASP top 10 for llm applications 2025. [link].
Paim, K., Mansilha, R., Kreutz, D., Franco, M., and Cordeiro, W. (2025). Exploiting latent space discontinuities for building universal llm jailbreaks and data extraction attacks. In Anais do XXV Simpósio Brasileiro de Cibersegurança, pages 417–431, Porto Alegre, RS, Brasil. SBC. DOI: 10.5753/sbseg.2025.11448
Perez, F. and Ribeiro, I. (2022). Ignore previous prompt: Attack techniques for language models. DOI: 10.48550/arXiv.2211.09527
Pfister, N., Volhejn, V., Knott, M., Arias, S., Bazińska, J., Bichurin, M., Commike, A., Darling, J., Dienes, P., Fiedler, M., Haber, D., Kraft, M., Lancini, M., Mathys, M., Pascual-Ortiz, D., Podolak, J., Romero-López, A., Shiarlis, K., Signer, A., Terek, Z., Theocharis, A., Timbrell, D., Trautwein, S., Watts, S., Wu, Y.-H., and Rojas-Carulla, M. (2025). Gandalf the red: Adaptive security for llms.
Singh, S., Nan, Y., Wang, A., D’Souza, D., Kapoor, S., Üstün, A., Koyejo, S., Deng, Y., Longpre, S., Smith, N. A., Ermis, B., Fadaee, M., and Hooker, S. (2025). The leaderboard illusion.
Wang, J., Yang, T., Xie, R., and Dhingra, B. (2024). Raccoon: Prompt extraction benchmark of llm-integrated applications. In Findings of the Association for Computational Linguistics ACL 2024, page 13349–13365. Association for Computational Linguistics.
Yang, Y., Fu, C., Zhang, T., Zeng, R., Li, Q., Du, T., Wang, Z., Ji, S., and Chen, W. (2026). Understanding and mitigating prompt leaking attacks in real-world llm-based applications.
Publicado
21/10/2026
Como Citar
ROCHA, Gabriel Rodrigues da; MANSILHA, Rodrigo Brandão.
Avaliando Vazamento de System Prompt em Modelos de Linguagem Locais: Pipeline e Estudo de Caso sobre Ataques de Turno Único. In: ESCOLA REGIONAL DE REDES DE COMPUTADORES (ERRC), 23. , 2026, Santa Maria/RS.
Anais [...].
Porto Alegre: Sociedade Brasileira de Computação,
2026
.
p. 37-42.
DOI: https://doi.org/10.5753/errc.2026.36412.
