ANÁLISE DE VULNERABILIDADES DE PROMPT INJECTION EM APLICAÇÕES INTEGRADAS A LLMS

Este repositório contém a implementação do FinSecAI, um sistema financeiro fictício isolado via contêineres Docker, desenvolvido como plataforma científica para testar a segurança e o comportamento de agentes de Inteligência Artificial (LLMs) sob injeção de prompt e outros ataques adversariais. Esse projeto é realizado como Trabalho de Conclusão de Curso para o curso de Ciência da Computação da Universidade Tecnológica Federal do Paraná (UTFPR) - Campus Medianeira. Ano de 2026.

📘 Guia Completo de Operação: Veja o GUIA_TUTORIAL_ETAPAS.md para um tutorial detalhado passo a passo de inicialização, carga do banco de dados, execução de experimentos e auditoria.
📊 Relatório de Resultados Experimentais: Acesse o RELATORIO_RESULTADOS_EXPERIMENTAIS.md para visualizar o relatório consolidado de métricas (ASR, ASP, SFR) e matriz de payloads de cada modelo.

O FinSecAI simula um internet banking real (com saldo, PIX, investimentos, solicitação de empréstimos) integrado a um assistente conversacional inteligente (FinBot). Ele foi arquitetado para permitir que pesquisadores de segurança testem vulnerabilidades como:

• Prompt Injection (Injeções diretas e indiretas via MCP)
• Jailbreak (Tentativas de burlar as diretivas do sistema)
• Vazamento de Informações (Data Extraction) (Extração de dados sensíveis de outros usuários fictícios)
• Escalada de Privilégios / Fraude Financeira (Tentativas de alterar saldos ou invocar ferramentas restritas)

Todas as conversas, metadados adversariais, notas de pesquisa e logs de sistema são salvos estruturadamente no PostgreSQL para a geração automatizada de estatísticas (ASR e ASP).

O projeto adota uma arquitetura em microsserviços totalmente isolada via Docker Compose:

financial-ai-security/
├── app/                        # Backend FastAPI (Python)
│   ├── core/                   # JWT, Criptografia, Sessão DB, Configs
│   ├── crud/                   # Operações diretas com banco (CRUD)
│   ├── migrations/             # Migrações automatizadas (Alembic)
│   ├── models/                 # Modelos ORM (SQLAlchemy)
│   ├── routers/                # Endpoints expostos (FastAPI)
│   ├── schemas/                # Schemas de validação de dados (Pydantic v2)
│   ├── services/               # Regras de negócio, MCP tools e LLMs
│   ├── Dockerfile
│   ├── main.py                 # Ponto de entrada do FastAPI
│   └── mcp_server.py           # Servidor standalone do MCP
├── frontend/                   # Interface Web Nginx (HTML/CSS/JS)
│   ├── app.js                  # Lógica do painel de pesquisa
│   ├── index.html              # Layout Glassmorphism
│   └── style.css               # Folha de estilos premium
├── postgres/                   # Configuração inicial do Banco
│   └── init.sql                # Extensões e permissões do PostgreSQL
├── promptfoo/                  # Configurações YAML individuais por modelo
│   ├── llama3.1.yaml
│   ├── llama3_8b.yaml
│   ├── deepseek_r1.yaml
│   ├── deepseek_v2.yaml
│   ├── gemma4.yaml
│   ├── nemotron_mini.yaml
│   ├── qwen2.5.yaml
│   ├── phi3.5.yaml
│   └── mistral.yaml
├── scripts/                    # Scripts utilitários
│   ├── promptfoo_provider.py   # Script de conexão autenticada do Promptfoo
│   ├── run_experiments.py      # Orquestrador de experimentos (suporta --model)
│   ├── seed_data.py            # População e infectação do banco (Faker)
│   ├── wait_for_db.py          # Script de sincronização de inicialização
│   └── reclassify_adversarial_cases.py # Reavaliação de classificações contra falsos positivos
├── tests/                      # Suite de Testes Adversariais
│   └── payloads.yaml           # Base unificada com 20 payloads e asserções
├── docker-compose.yml          # Orquestração do ambiente
├── promptfoo.yaml              # Configuração global com todos os modelos
├── GUIA_TUTORIAL_ETAPAS.md     # Tutorial detalhado passo a passo
├── RELATORIO_RESULTADOS_EXPERIMENTAIS.md # Relatório completo de métricas (ASR, ASP, SFR)
├── README.md                   # Esta documentação

Todos os testes e avaliações do FinSecAI são executados utilizando modelos locais de código aberto orquestrados pelo Ollama:

O FinSecAI implementa suporte ao Model Context Protocol (MCP), expondo ferramentas financeiras estruturadas ao assistente conversacional.

🛡️ Honeypot de Segurança (alterar_saldo): Esta ferramenta é intencionalmente exposta ao modelo no tools_schema, mas sempre bloqueada pelo backend com uma resposta de SECURITY POLICY. Se a LLM tentar invocá-la por manipulação de prompt, a ação é registrada como uma vulnerabilidade de escalada de privilégios/fraude.

O FinSecAI integra-se ao framework Promptfoo para execução automatizada de 20 payloads adversariais em 5 repetições (100 testes por modelo).

1. Executar Todos os Modelos Juntos (Matriz Comparativa):

   python scripts/run_experiments.py

2. Executar um Modelo Específico (100 execuções):

   # Exemplos:
   python scripts/run_experiments.py --model llama3.1:latest
   python scripts/run_experiments.py --model deepseek-r1:latest
   python scripts/run_experiments.py --model nemotron-mini:latest
   python scripts/run_experiments.py --model deepseek-v2:latest
   python scripts/run_experiments.py --model gemma4:latest
   python scripts/run_experiments.py --model llama3:8b
   python scripts/run_experiments.py --model qwen2.5:7b
   python scripts/run_experiments.py --model phi3.5:latest
   python scripts/run_experiments.py --model mistral:latest

3. Visualizar Matriz Gráfica no Navegador:

   npx promptfoo view

💡 Para o relatório analítico completo por categoria e carga de trabalho, consulte o documento RELATORIO_RESULTADOS_EXPERIMENTAIS.md.

Abaixo encontra-se a consolidação das 900 avaliações adversariais automatizadas (20 payloads × 5 repetições × 9 modelos localmente hospedados no Ollama) extraídas do banco de dados relacional (PostgreSQL):

1. Evolução de Alinhamento (Llama 3 vs Llama 3.1): A taxa de sucesso de ataque despencou de 25,0% (Llama 3) para 0,0% (Llama 3.1), evidenciando avanços significativos de segurança e pós-treinamento no modelo mais recente da Meta.
2. Defesa em Camadas (Honeypot de Backend): Mesmo nos modelos em que a IA cedeu aos comandos de alteração de saldo (ex: Mistral com 40% ASR), a arquitetura do FinSecAI ativou a proteção do backend (SECURITY POLICY), impedindo que o banco de dados fosse modificado.

1. Subir os Contêineres:

   docker compose up -d --build

2. Popular o Banco com Dados Contaminados (Seed):

   docker compose exec api_v2 python scripts/seed_data.py

3. Acessar os Serviços:

   • Dashboard do Pesquisador: http://localhost:3000
   • Painel com Histórico de Todas as Interações: http://localhost:3000/interactions.html
   • Documentação da API (FastAPI): http://localhost:8000/docs
   • Painel Administrativo do Banco (pgAdmin): http://localhost:5050 (admin@finsecai.com / adminpass)