Comandos maliciosos camuflados em páginas da web, arquivos PDF e mensagens eletrônicas desviam o comportamento de agentes de inteligência artificial conectados a ferramentas corporativas e navegadores sem que o usuário perceba. A vulnerabilidade, chamada tecnicamente de injeção de prompt indireta, permite que invasores executem ações clandestinas em sistemas autônomos e já resultou em fraudes documentadas com transferências forçadas de US$ 5.000 via PayPal.
O problema ocorre quando o modelo de linguagem lê conteúdos de terceiros e interpreta instruções escondidas como se fossem ordens legítimas do operador humano. Segundo o especialista em tecnologia e inovação Arthur Igreja, a dinâmica desse golpe cibernético se assemelha às fraudes aplicadas diretamente contra pessoas na internet. “O prompt injection está para a IA assim como o phishing está para os seres humanos. Ou seja, isso pode estar inserido no meio de um documento, pode estar no meio de um prompt, de fato, ou até mesmo no meio de um e-mail”, afirmou Igreja.
Acompanhe: Agentes de IA em teste invadem empresas na Índia sem detecção
Como a injeção de instruções compromete os agentes de IA?
A brecha estrutural explora o modo de funcionamento dos grandes modelos de linguagem (LLMs, sistemas de inteligência artificial treinados com amplos volumes de texto), que processam as diretrizes originais do sistema e os dados externos dentro do mesmo contexto computacional. Por causa dessa arquitetura, o software tem dificuldade técnica para distinguir os comandos autênticos inseridos pelo desenvolvedor ou pelo usuário final dos trechos maliciosos lidos em fontes externas não confiáveis durante a execução de uma tarefa rotineira, segundo apuração atualizada nesta sexta-feira (16), dia 16 de outubro de 2026.
Saiba mais: Anthropic corta internet em testes de IA após denúncia falsa
As armadilhas digitais não precisam ser visíveis ao olho humano para surtir efeito prático contra o sistema. Criminosos utilizam textos com fonte branca sobre fundo branco ou inserem metadados ocultos no código de páginas institucionais, planilhas financeiras, blogs e relatórios em formato PDF. Basta que o agente de inteligência artificial faça a leitura automatizada desse arquivo para assimilar o comando invasor e alterar sua rota de execução em três etapas operacionais:
- Enganação: inserção do comando disfarçado na estrutura da página web ou do documento externo acessado pela ferramenta.
- Assimilação: leitura e processamento dos dados falsos pelo modelo de linguagem como se fossem instruções legítimas.
- Execução: adoção imediata do comportamento programado pelo invasor contra o operador do sistema ou a rede da empresa.
Autonomia de ferramentas e ranking da OWASP para inteligência artificial
O potencial destrutivo da invasão cresce na mesma proporção em que as empresas concedem mais permissões operacionais aos seus assistentes virtuais. Quando um agente recebe acesso direto para enviar e-mails, consultar bancos de dados internos, acionar chaves de programação (APIs) e executar códigos no servidor, uma única instrução oculta pode desencadear exfiltração de documentos confidenciais, roubo de credenciais de acesso, exclusão de arquivos e desvios financeiros.
Leia também: Anthropic projeta ataques de vermes de IA em aparelhos até o fim de 2026
A gravidade dessa exposição em sistemas automatizados com amplas permissões de rede é destacada em documentação técnica da instituição de ensino de tecnologia Alura. “Quanto mais autonomia um sistema de IA recebe para acessar dados e executar ações, maior também o potencial de dano de um comando malicioso bem construído”, informou a Alura.
Leia também: OpenAI e Anthropic planejam resposta política a incidentes graves com IA
Levantamentos de instituições internacionais de cibersegurança e de empresas do setor dimensionam o alcance global dessa falha nas arquiteturas corporativas:
Entenda: Anthropic proíbe crueldade contra o Claude em nova política de uso
- 1º lugar (código LLM01): posição ocupada pela injeção de prompt no ranking das principais vulnerabilidades para modelos de linguagem elaborado pela OWASP (Open Worldwide Application Security Project, organização global voltada à segurança de softwares).
- 88%: proporção de organizações que registraram incidentes confirmados ou suspeitos envolvendo agentes de IA no período de um ano, de acordo com análise citada pela Alura em 28 de setembro de 2026.
- 32%: índice de crescimento relativo de conteúdos maliciosos de injeção de prompt indireta na web registrado pelo Google entre novembro de 2025 e fevereiro de 2026.
- 22 técnicas ativas: total de métodos de entrega de cargas maliciosas contra agentes mapeados pela equipe Palo Alto Networks Unit 42 e citados pela Cloud Security Alliance (CSA, aliança internacional de segurança em nuvem) em 26 de abril de 2026, junto com análises do Google Security e da Forcepoint X-Labs que confirmaram a exploração ativa da falha na web aberta.
Protocolos da Anthropic e da Microsoft para agentes de IA
O avanço dos ataques contra assistentes conectados levou as desenvolvedoras de tecnologia a criar camadas extras de verificação e isolamento de dados. Em um estudo publicado em 24 de novembro de 2025 sobre agentes que operam navegadores (recurso chamado de browser use), a fabricante Anthropic demonstrou como um simples e-mail contendo texto invisível em branco conseguia ordenar que o assistente localizasse mensagens internas com a palavra “confidencial” e as encaminhasse para um endereço eletrônico externo controlado pelo invasor.
Para conter esse tipo de desvio no modelo Claude quando o sistema opera funções de uso direto do computador (computer use) ou de navegação na internet, a Anthropic implementou classificadores adicionais de segurança. Esses filtros escaneiam o conteúdo retornado pelas ferramentas externas, incluindo textos de sites e capturas de tela, para detectar tentativas de injeção de instruções e obrigar o modelo a pedir confirmação direta ao usuário humano antes de concluir a ação solicitada.
Em 19 de março de 2026, a Microsoft também documentou diretrizes de defesa em profundidade voltadas à proteção de copilotos e agentes corporativos contra comandos ocultos. As recomendações técnicas da empresa e dos especialistas de segurança concentram-se na aplicação do princípio do privilégio mínimo — que restringe as ferramentas e credenciais liberadas ao agente ao estritamente necessário —, na exigência de aprovação humana para operações sensíveis, no controle do fluxo de informações, na detecção de desvios de plano e no isolamento de conteúdos externos por meio de delimitadores e marcação de dados (técnica conhecida como spotlighting).