Estudos de 2026 concluem que filtros e treinamentos são insuficientes para conter comandos maliciosos; especialista defende restrição de acessos e arquitetura de segurança em camadas
A tentativa de blindar sistemas de inteligência artificial contra o prompt injection — técnica em que comandos maliciosos são inseridos em textos, e-mails ou documentos para manipular as respostas da IA — enfrenta um limite matemático estrutural. Estudos publicados em junho de 2026 por pesquisadores em segurança apontam que, em arquiteturas onde dados externos e instruções de controle percorrem o mesmo fluxo de processamento, é impossível barrar totalmente a manipulação apenas com filtros ou treinamentos do modelo.
A vulnerabilidade ocupa o topo da lista de maiores riscos para aplicações baseadas em Grandes Modelos de Linguagem (LLM) da OWASP (Open Worldwide Application Security Project).
Para Hesron Hori, sócio e diretor de Risk Assessment da Under Protection, o cenário exige uma mudança na estratégia de defesa das corporações:
“Quando se fala em prompt injection, a discussão não pode partir da ideia de que haverá uma ferramenta capaz de bloquear tudo. O ponto mais importante é estruturar o ambiente para que, mesmo se uma instrução maliciosa chegar até a IA, ela não tenha liberdade para acessar informações críticas ou executar ações que não deveria.”
Como o ataque funciona e os riscos da autonomia excessiva
A ameaça explora a incapacidade dos modelos de IA em separar, de forma absoluta, o que é apenas dado de leitura do que é uma instrução de execução. Um arquivo aparentemente inofensivo, como um currículo ou contrato enviado ao sistema, pode conter frases invisíveis projetadas para alterar o comportamento da ferramenta ou vazar informações.
De acordo com o levantamento da OWASP e os alertas da Under Protection, os principais pontos de atenção incluem:
- Manipulação Indireta: Comandos ocultos em e-mails, sites ou planilhas consultadas pela IA podem instruir o sistema a ignorar regras de segurança corporativas.
- Autonomia Excessiva (Excessive Agency): Quando a IA recebe permissões para alterar bancos de dados ou executar tarefas automatizadas, o ataque pode resultar em vazamentos reais e incidentes operacionais graves.
- Proteção em Camadas: Pesquisas recentes mostram que combinar filtros de entrada, segregação de comandos e monitoramento de saída reduz a taxa de sucesso dos ataques de 71,4% para 11,3%, embora não a elimine completamente.
Segundo Hori, as empresas devem adotar o princípio da menor permissão possível, garantindo controle de acesso rigoroso e supervisão humana em ações sensíveis:
“Prompt injection não é um problema que se resolve apenas treinando melhor o modelo. Ele exige decisões de arquitetura, identidade, acesso, monitoramento e governança. A pergunta correta não é se uma tentativa vai conseguir chegar até a IA, mas o que o sistema poderá fazer caso isso aconteça.”