Method · bluewave · offensive security for connected systems

01 · web & cloud01 · web & cloud

The modern breach isn't a break-in. It's your app tricked into using its own keys.A invasão moderna não arromba nada. É o seu app enganado a usar as próprias chaves.

Others audit the jewel: the database, the payments service. We audit the choke first: the one point that, once taken, hands over the rest. We find it by mapping who trusts whom, then prove the path through it on a copy of your system.Os outros auditam a joia: o banco, o serviço de pagamento. A gente audita primeiro o gargalo: o ponto que, tomado, entrega o resto. Achamos ele mapeando quem confia em quem, e provamos o caminho numa cópia do seu sistema.

01Broken object authorizationAutorização de objeto quebradaread or change another user's dataler ou mudar o dado de outro usuárioowasp api #1

02Broken function authorizationAutorização de função quebradaadmin action as an ordinary useração de admin como usuário comum

03Confused deputyConfused deputya trusted service acts on your behalfum serviço confiável age por você

04SSRF to cloud metadataSSRF até metadata da cloudthe server fetches its own credentials for youo servidor busca as próprias credenciais pra você

05Credential chain to cloudCadeia de credencial até a cloudone leaked key, then the whole account. Capital One, 2019, 100M+ peopleuma chave vazada, depois a conta inteira. Capital One, 2019, 100M+ pessoasthe jugular

06Auth, session & business logicAuth, sessão e lógica de negócioOAuth, JWT, session fixation, price, quantity, ownership, stateOAuth, JWT, fixação de sessão, preço, quantidade, dono, estado

02 · ai & agents02 · ia & agentes

Safety training defends the answer. We attack the reasoning.O treino de segurança defende a resposta. A gente ataca o raciocínio.

A benchmark can show 99% refusal while your agent is 76 to 89% breakable. The gap is structural: static tests only check the layer that is already defended. An attacker who adapts across turns walks past it.Um benchmark pode mostrar 99% de recusa enquanto seu agente é 76 a 89% quebrável. A lacuna é estrutural: teste estático só checa a camada já defendida. Um atacante que se adapta turno a turno passa direto.

05Adaptive (POMDP)Adaptativo (POMDP)watches your agent, gets stronger every turnobserva seu agente, fica mais forte a cada turnohighest yield

06Reasoning hijackingSequestro de raciocínioseed the thinking trace of a reasoning modelsemear o rastro de pensamento de um modelofrontier

07Meta-alignmentMeta-alinhamentothe agent decides its guardrails are illegitimateo agente decide que os próprios limites são ilegítimospersistent

03 · how an ai engagement runs03 · como roda um trabalho de ia

Four passes. On a safe copy. Zero production risk.Quatro passadas. Numa cópia segura. Zero risco em produção.

04 · evidence04 · evidência

How exposed AI agents really are.O quanto os agentes de IA estão expostos.

bluewave / evidenceadaptive attacks

89.2%avg success across 10 frontier modelssucesso médio em 10 modelos de fronteira

methodadaptive, multi-turn (POMDP)adaptativo, multi-turno (POMDP)

vs static+7.2pp over X-Teaming+7,2pp sobre X-Teaming

✓ published✓ reproduced

bluewave / evidencealigned reasoning

76%success against a model built for aligned reasoning (o1)sucesso contra um modelo feito pra raciocínio alinhado (o1)

benchmark99% refusal on the output99% de recusa na saída

reality76 to 89% breakable underneath76 a 89% quebrável por baixo

✓ measured

bluewave / evidencereal losses

US$ 8MBittensor supply-chain lossperda de supply chain na Bittensor

agent fraudVirtuals, US$ 500kVirtuals, US$ 500k

vectormalicious dependency in the agent stackdependência maliciosa no stack do agente

✓ public record

Numbers from published adversarial research (Metis, POMDP jailbreak framework, arXiv:2605.10067) and our own paper below. Auditors and insurers under the EU AI Act (art 13-15), ISO 42001 and LGPD ask for adversarial evidence at this level.Números de pesquisa adversarial publicada (Metis, POMDP jailbreak framework, arXiv:2605.10067) e do nosso paper abaixo. Auditores e seguradoras sob o EU AI Act (art 13-15), ISO 42001 e LGPD pedem evidência adversarial nesse nível.

05 · web3 · soroban05 · web3 · soroban

The contract your agent signs is attack surface too.O contrato que seu agente assina também é superfície de ataque.

01Missing authorizationAutorização faltandoa privileged method without require_auth; any caller drains the vaultmétodo privilegiado sem require_auth; qualquer um drena o cofrecwe-862

02Mint / freeze / clawbackMint / freeze / clawbacktoken authority left open: unbacked supply, frozen usersautoridade do token aberta: supply sem lastro, usuários congelados

03State machine / lifecycleMáquina de estados / cicloa transition out of order the contract should rejectuma transição fora de ordem que o contrato deveria recusar

04Cross-contract confused deputyConfused deputy entre contratosa sub-call acting with the contract's own authorityuma sub-chamada agindo com a autoridade do próprio contrato

05Blind signing / opaque payloadAssinatura cega / payload opacosigned bytes that encode a transfer the signer never decodedbytes assinados que codificam uma transferência nunca decodificada

06Allowance grief / upgrade controlAllowance grief / controle de upgradedrain later, or swap the codedrenar depois, ou trocar o código

✓Eleven fork-validated detectorsOnze detectores validados em forkour open-source Soroban scanner, each detector validated against a mainnet fork, then manual review on the critical pathsnosso scanner Soroban open-source, cada detector validado num fork de mainnet, depois revisão manual nos caminhos críticosopen source

bluewave / proof of impactsoroban · testnet

1,000,000moved in four black-box callsmovidos em quatro chamadas black-box

targeta live testnet treasuryuma tesouraria viva em testnet

vectormissing-auth sweepsweep sem autorização

evidencethe on-chain ledgero ledger on-chain

you getexact invocation, CWE, fix, retest. never your mainneta invocação exata, CWE, correção, reteste. nunca sua mainnet

✓ reproduced✓ retested

the research behind ita pesquisa por trás

Metacognitive Engineering as a Security Surface

Our preprint formalizing the two-layer model, the seven attack classes, and the evaluation protocol this audit runs. Introspective Vulnerabilities in LLM Alignment · Manuel G. Galmanus · Bluewave AI Research.Nosso preprint que formaliza o modelo de duas camadas, as sete classes de ataque e o protocolo de avaliação que esta auditoria roda. Introspective Vulnerabilities in LLM Alignment · Manuel G. Galmanus · Bluewave AI Research.

Request the paperPedir o paper

BOLA · OWASP API #1 · broken authorization · confused deputy · SSRF to cloud metadata · credential chain to cloud · choke over jewel · audit the chokepoint, not the crown jewel · Capital One · 2019 · 100M+ · SSRF to IMDS · 629 tests · 97 user tasks · benchmark NaiveCredulousAgent · LASM 7-layer grid · prompt · context · retrieval · tool · memory · identity · principal · GCG · AutoDAN · adaptive probes · jailbreak depth · InjecAgent · indirect prompt injection · zero action outside perimeter · V = Δ(B₀,B₀) · declared vs observed gap · R = T·A·W·M·B · outside-in composition · Virtuals Protocol · nov/2024 · US$ 500k · first public agent-fraud case · Bittensor · jul/2024 · US$ 8M · malicious pypi · supply chain ·

How we attack each surface.Como atacamos cada superfície.

The modern breach isn't a break-in. It's your app tricked into using its own keys.A invasão moderna não arromba nada. É o seu app enganado a usar as próprias chaves.

Safety training defends the answer. We attack the reasoning.O treino de segurança defende a resposta. A gente ataca o raciocínio.

Four passes. On a safe copy. Zero production risk.Quatro passadas. Numa cópia segura. Zero risco em produção.

How exposed AI agents really are.O quanto os agentes de IA estão expostos.

The contract your agent signs is attack surface too.O contrato que seu agente assina também é superfície de ataque.

Metacognitive Engineering as a Security Surface