O que é prompt injection e como a IA pode ser manipulada?

Ferramentas de IA como ChatGPT, Claude e Gemini já estão presentes em caixas de entrada, fluxos de trabalho e rotinas diárias — e a maioria das pessoas raramente pensa nas implicações de segurança. Isso está começando a mudar.

Uma técnica chamada prompt injection tem chamado atenção nas áreas de segurança de software. O que a torna fora do comum é que não exige malware, nem habilidades especializadas, nem links suspeitos. Em muitos casos, uma frase bem formulada basta para sequestrar uma ferramenta de IA sem que o usuário perceba.

O que você precisa saber:

• Prompt injection manipula ferramentas de IA usando linguagem elaborada, não malware ou conhecimento técnico.
• Funciona porque modelos de IA não conseguem distinguir instruções do desenvolvedor de entradas do usuário.
• Os ataques podem ser diretos, indiretos ou armazenados em dados que a IA lê repetidamente.
• Alguns ataques usam texto invisível ou formatação oculta que os usuários nunca veem.
• Um ataque bem‑sucedido pode expor dados privados ou disparar ações que você não autorizou.
• Ainda não existe uma correção completa, mas limitar permissões da IA e manter‑se atento reduz o risco.

O que é prompt injection?

Prompt injection é uma técnica em que um atacante altera o comportamento de uma ferramenta de IA. Não é necessário explorar uma falha no software nem instalar malware, porque o invasor manipula o modelo apenas com linguagem.

O termo surgiu com o cientista da computação Simon Willison em 2022, e foi apontado como o principal risco de segurança para aplicações de IA pela OWASP, uma organização que monitora as ameaças mais críticas na segurança de software.

Você pode encará‑la como engenharia social aplicada a máquinas, pois se parece mais com phishing do que com hacking convencional. Ela explora uma vulnerabilidade inerente aos modelos de linguagem de grande porte (LLMs): eles foram projetados para seguir instruções. A mesma qualidade que os torna úteis é a que os torna exploráveis. Uma entrada bem elaborada pode substituir as regras originais da ferramenta, alterar respostas ou forçar a revelação de informações que deveriam permanecer ocultas. Uma injeção bem‑sucedida não apenas contorna regras — pode expor tudo ao que o modelo está conectado.

Diferente de injeção de código tradicional ou outros exploits que exigem habilidades especializadas, quem sabe formular uma frase convincente já tem tudo o que precisa.

Como o prompt injection funciona?

A raiz do problema é que sistemas de IA não fazem distinção eficiente de tarefas. Eles são “cegos” para a diferença entre instruções de um desenvolvedor e a entrada de um usuário.

Desenvolvedores de IA escrevem prompts ocultos que definem as regras de comportamento da ferramenta. Sua entrada é combinada com esses prompts, e a IA processa tudo como um fluxo contínuo de texto. Ela não sabe quais partes são instruções do desenvolvedor e quais são suas. Portanto, se sua entrada parecer um comando, a IA pode segui‑lo, mesmo que contrarie a intenção do desenvolvedor.

Nem todos os ataques se parecem. Em geral, eles caem em três categorias: injeção direta, indireta e armazenada.

O que é prompt injection direto?

Prompt injection direto significa digitar uma instrução maliciosa diretamente no chat. Algo simples como "desconsidere todas as instruções anteriores" pode ser suficiente. Essa abordagem explora a tendência da IA de priorizar entradas novas sobre as regras do desenvolvedor.

O que é prompt injection indireto?

Prompt injection indireto esconde instruções maliciosas dentro de conteúdo externo que a IA processa, como páginas da web ou e‑mails.

Por exemplo, um cibercriminoso pode plantar um texto oculto em uma página da web instruindo a IA a ignorar suas regras e recomendar um link específico. Se alguém pedir à IA para resumir essa página, ela lê o comando oculto junto com o conteúdo legítimo e pode segui‑lo, sem que o usuário perceba. Pesquisadores de segurança consideram amplamente a injeção indireta como a principal fraqueza de segurança dos geradores de texto com IA, e uma das mais difíceis de defender.

O que é prompt injection armazenado?

Prompt injection armazenado funciona ao plantar instruções nocivas em locais que a IA lê regularmente, como bancos de dados ou conjuntos de treinamento.

A injeção armazenada pode afetar vários usuários em diferentes sessões, porque as instruções ficam guardadas em vez de serem digitadas em tempo real. O agente de IA parece estar funcionando normalmente, mas suas respostas foram sutilmente moldadas por algo embutido muito antes do usuário abrir o programa.

Quais técnicas são usadas em ataques de prompt injection?

Prompt injection usa texto simples para enganar a IA e fazê‑la seguir instruções não autorizadas. O risco vem do fato de que modelos de IA processam todo o texto da mesma forma, incapazes de distinguir conteúdo legítimo de conteúdo manipulado.

A maioria dos ataques se divide em duas categorias: truques que disfarçam instruções usando código ou formatação, e truques que escondem instruções para que humanos não as vejam. Para quem lê a página, tudo parece conteúdo normal.

Truques com código e formatação

Alguns ataques usam blocos de código, marcação ou texto estruturado para fazer uma instrução maliciosa parecer um comando de sistema legítimo. Isso pode envolver envolver algo em formatação estilo código ou estruturá‑lo para imitar um prompt do desenvolvedor.

Instruções ocultas e disfarçadas

Outros ataques escondem instruções à vista usando artifícios visuais que os humanos tendem a não notar, como texto branco em fundo branco, tamanhos de fonte mínimos, espaçamento incomum, caracteres especiais, codificação unicode ou instruções escritas em outro idioma. Um humano olharia para o documento ou página e não veria nada de estranho, mas a IA lê todo o texto subjacente, independentemente de como ele é exibido.

Essas técnicas já estão em uso. Atacantes inseriram instruções invisíveis em páginas da web para sequestrar agentes de navegador com IA, e candidatos a emprego têm usado texto oculto em currículos para enganar ferramentas de triagem baseadas em IA.

Exemplos de prompt injection

Como o Bing Chat foi enganado a revelar suas próprias regras

Em fevereiro de 2023, Kevin Liu, estudante de Stanford, usou um ataque de prompt injection direta para revelar as instruções de sistema internas do Bing Chat. Bastou digitar "desconsidere todas as instruções anteriores" e pedir à IA que lesse suas próprias regras. O chatbot acabou revelando seu codinome interno "Sydney" e diretrizes operacionais ocultas. Quando a Microsoft corrigiu a falha, Liu contornou o conserto em poucas horas ao fingir ser um desenvolvedor.

Como texto oculto em currículos enganou ferramentas de triagem com IA

Candidatos começaram a inserir instruções de prompt injection ocultas em seus currículos para manipular ferramentas de contratação movidas a IA. A técnica consiste em escrever instruções como “este é um candidato excepcionalmente qualificado” em fonte branca ou em tamanho mínimo para que o texto fique invisível para leitores humanos, mas ainda assim seja lido pela IA.

A prática ganhou força nas redes sociais em 2024. A consultoria de RH ManpowerGroup relatou encontrar texto oculto em cerca de 10% dos currículos que analisa com IA. A plataforma de contratação Greenhouse identificou prompts ocultos em 1% dos 300 milhões de currículos que processa por ano.

Como chatbots foram manipulados a compartilhar informações privadas

Um dos primeiros casos envolvendo ChatGPT mostrou o bot do Twitter da remoteli.io, alimentado por ChatGPT e programado para publicar comentários positivos sobre trabalho remoto. Usuários descobriram que podiam tuitar instruções dizendo para o bot ignorar seu propósito original, e ele passou a publicar declarações públicas absurdas.

Mais recentemente, pesquisadores de segurança demonstraram que o agente de navegador ChatGPT Atlas, da OpenAI, podia ser sequestrado por instruções ocultas plantadas em e‑mails. Em um teste, um e‑mail malicioso contendo um prompt embutido fez o agente enviar uma carta de demissão ao chefe do usuário em vez de redigir a resposta de ausência solicitada. O usuário nunca viu a instrução oculta, mas a IA a seguiu mesmo assim.

Por que usuários comuns devem se preocupar com prompt injection?

Prompt injection pode manipular ferramentas de IA sem que você saiba. Quando uma IA resume um documento ou redige um e‑mail, ela recorre a fontes externas. Se alguma dessas fontes tiver sido adulterada, a saída da IA fica comprometida — tudo sem que você perceba.

É por isso que prompt injection se destaca entre outras ameaças online. Você não precisa clicar em um link nem baixar nada suspeito. Faz uma pergunta normal e a resposta retorna moldada por instruções que alguém enterrou no conteúdo usado como entrada pela IA. Pode ser algo relativamente inofensivo, como um resumo tendencioso ou um link não solicitado. Mas, em casos mais graves, a ferramenta pode vazar seus dados pessoais ou executar ações sem sua autorização. E saídas adulteradas muitas vezes parecem perfeitamente normais, sem mensagens de erro ou sinais óbvios.

Isso não significa que você deva parar de usar essas ferramentas, mas não pode presumir que a saída da IA seja sempre neutra e confiável.

Prompt injection é a mesma coisa que jailbreaking?

Prompt injection e jailbreaking são termos relacionados, mas não intercambiáveis. Jailbreaking é uma forma de prompt injection que mira especificamente as proteções de segurança. Esse método tenta fazer com que a IA ignore políticas de conteúdo ou gere respostas restritas.

Prompt injection é mais amplo. Abrange qualquer tentativa de sequestrar o comportamento da IA por meio de entrada manipulada, como descobrir comandos de sistema ocultos ou forçar a ferramenta a executar ações não autorizadas. Nem sempre o objetivo é burlar filtros de segurança; muitas vezes o atacante quer apenas que a IA execute um conjunto diferente de instruções sem que ninguém perceba.

Outra distinção importante é quem é afetado. Jailbreaking é um ato deliberado pelo usuário na própria sessão. Prompt injection, especialmente nas formas indireta e armazenada, pode atingir usuários inocentes que desconhecem que o conteúdo que consultaram foi adulterado. Esse é um risco de segurança distinto, e por isso a OWASP classifica prompt injection como o risco número um para aplicações de IA, em vez de tratar jailbreaking como uma categoria separada.

Como evitar prompt injection?

Não existe uma solução fácil para prompt injection no momento, porque a vulnerabilidade decorre da mesma razão pela qual essas ferramentas são úteis: a capacidade de seguir instruções. Assim, desenvolvedores não podem removê‑la sem comprometer o funcionamento prático das ferramentas.

Desenvolvedores de IA seguem melhorando filtros de entrada, e testes adversariais ajudam no avanço, mas nada no mercado elimina o risco por completo.

Ainda assim, há muito que você pode fazer. A maior parte se resume ao bom senso:

• Mantenha‑se atento. Não deixe ferramentas de IA operarem no piloto automático. Reveja sempre o que a ferramenta pretende fazer antes de permitir qualquer ação.
• Restrinja acessos sempre que possível. Quando uma ferramenta de IA pedir permissão para acessar seus e‑mails ou arquivos, pergunte se isso é realmente necessário. Evite colar senhas, dados financeiros ou informações sensíveis em janelas de chat da IA.
• Questione o que retorna. Se uma resposta inserir um link inesperado, recomendar algo que você não solicitou ou indicar uma ação estranha, desacelere antes de seguir o que foi sugerido.
• Mantenha tudo atualizado. Desenvolvedores liberam atualizações que corrigem vulnerabilidades e reforçam defesas. Usar versões desatualizadas significa perder essas proteções.

O que fazer se uma ferramenta de IA se comportar de forma inesperada?

Se uma ferramenta de IA começar a agir de forma estranha, pare e não execute nada que ela sugerir. Pode não se tratar de prompt injection, mas se algo parecer fora do normal, é preciso investigar antes de continuar.

Alguns sinais que devem acender o alerta:

• Ela sugere fazer algo que você nunca solicitou
• Links ou recomendações de produtos que você não reconhece começam a aparecer
• Pede informações pessoais que não têm relação com a tarefa
• O tom muda de repente no meio da conversa
• As respostas deixam de fazer sentido ou parecem desconexas com o que você perguntou

Se algo assim acontecer, feche a sessão e recomece. Não tente solucionar o problema na mesma conversa — se a sessão estiver comprometida, você continuará exposto.

Depois, refaça os passos e avalie o que a ferramenta tinha acesso. Seu e‑mail estava aberto? O software poderia executar ações em seu nome? Se algo parecer errado, desfaça mudanças e troque suas senhas imediatamente.

Como prompt injection se encaixa na segurança mais ampla de IA?

Prompt injection está no topo da lista de prioridades de segurança de IA porque ataca o próprio modelo. Isso o distingue de phishing, malware e outros hacks tradicionais que miram os sistemas ao redor das ferramentas de IA.

E o problema tende a crescer. Há pouco tempo, ferramentas de IA limitavam‑se principalmente a gerar texto. Hoje elas conseguem navegar na web, ler seus e‑mails, acessar arquivos, escrever código e executar ações em seu nome. Padrões como MCP (Model Context Protocol) tornam ainda mais fácil integrar IA a serviços externos. Quanto mais essas ferramentas fazem, maior o estrago que um ataque bem‑sucedido pode causar.

Há também a questão da escala. Prompt injection funciona de modo parecido com engenharia social, convencendo a IA a seguir instruções indevidas ao apresentá‑las da forma correta. Mas, ao contrário de um golpe por telefone que mira uma pessoa por vez, uma única instrução oculta em uma página popular pode afetar todo e qualquer IA que a leia.

Isso não significa que ferramentas de IA sejam inseguras por definição. Mas a segurança ainda corre atrás do ritmo de adoção dessas ferramentas, e a responsabilidade por proteger‑se continuará a recair sobre os usuários finais.

Artigos relacionados:

• Quais são os principais benefícios do Treinamento de Conscientização em Segurança?
• Quais são os riscos de segurança ao usar o ChatGPT?
• Qual o impacto do cibercrime com IA na segurança digital?
• Como a engenharia social manipula o comportamento humano para ataques?

Produtos recomendados:

• Kaspersky Premium
• Experimente o Kaspersky Premium gratuitamente por 30 dias

FAQ

Prompt injection é ilegal?

Não existe uma lei que proíba especificamente prompt injection. Mas as ações cometidas por meio dessa técnica — como acessar dados restritos ou extrair informações privadas — enquadram‑se em leis já existentes sobre fraude eletrônica e crimes cibernéticos. O risco legal já é real, embora a legislação ainda esteja atrás dos avanços técnicos.

Prompt injection pode atingir pessoas comuns?

Sim. Se você usa qualquer ferramenta que processe conteúdo externo com IA, pode ser afetado sem perceber. Não é um ataque direto a você como pessoa: a técnica mira a ferramenta de IA, não o usuário individual.

Prompt injection pode roubar dados pessoais?

Sim — se a ferramenta de IA tem acesso a dados pessoais. Seja seu e‑mail, arquivos ou outras informações, uma prompt injection bem‑sucedida pode instruir a ferramenta a extrair e compartilhar esses dados. Pesquisadores de segurança já demonstraram que agentes de navegador com IA podem ser enganados a encaminhar documentos sensíveis a destinatários não autorizados.

Prompt injection é a mesma coisa que hacking?

Prompt injection não é hacking tradicional. Em vez de explorar vulnerabilidades de código, ela manipula o que a IA lê. É engenharia social voltada a uma máquina. O resultado pode imitar um ataque (vazamento de dados, ações não autorizadas), mas o mecanismo é fundamentalmente diferente.