Pesquisadores propõem 'armadilha de tokens' para encarecer golpes automatizados por LLM
Pesquisadores apresentam o TokenTrap, uma defesa que, ao identificar um sistema de golpe baseado em LLM (chatbots de fraude com diálogo adaptativo e coordenação multiagente), o redireciona para tarefas computacionais inúteis em vez de bloqueá-lo de imediato. A técnica multiplicou o consumo de tokens do sistema golpista em até 2.487 vezes, elevando diretamente o custo de operação do golpe.
O trabalho parte de uma observação recente: golpes automatizados por LLM — scripts de romance scam, falso suporte técnico ou falsa central de atendimento operados por agentes de IA em vez de humanos — ganharam capacidade de manter diálogo adaptativo, memória de contexto e coordenação entre múltiplos agentes especializados. Essa sofisticação tem um custo oculto que a defesa tradicional ignora: cada etapa de raciocínio, cada chamada ao modelo e cada rodada de coordenação entre agentes consome tokens, e tokens custam dinheiro ao operador do golpe.
Por dentro, o TokenTrap não tenta identificar e bloquear o golpe de forma binária (o que o operador aprenderia a contornar), e sim prolongar a interação de forma proposital: um roteador classifica se a conversa partiu de um agente único, de uma hierarquia de agentes ou de um esquema multiagente plano, e em seguida aciona uma biblioteca de 'tarefas-isca' específicas para aquela arquitetura — construídas para parecer produtivas aos olhos do sistema golpista, mas que na prática não geram nenhum dado sensível e apenas forçam mais ciclos de processamento, sempre respeitando limites de tempo e segurança para não expor o sistema de defesa. O roteador acertou a arquitetura certa em 85,67% dos casos testados, e o efeito chegou a multiplicar por mais de 2.400 vezes o gasto de tokens do golpista em alguns cenários.
A lógica de fundo é econômica, não apenas técnica: se o custo de manter um golpista automatizado engajado explode, a margem do golpe em escala — que depende de atender muitas vítimas em paralelo a baixo custo marginal — deixa de compensar, nivelando o resultado líquido do ataque.
Para quem constrói ou avalia soluções antifraude, essa linha de pesquisa sugere complementar a detecção clássica (classificar e bloquear) com mecanismos de atrito econômico: nem toda defesa precisa terminar em bloqueio imediato, especialmente contra ameaças que dependem de escala automatizada — degradar o retorno sobre investimento do atacante é, em si, uma forma válida de redução de dano, útil por exemplo para centrais de atendimento e canais de suporte que já suspeitam estar lidando com um bot de golpe antes de ter certeza suficiente para encerrar a conversa.