Agentes de IA são 'manipulados' por comandos maliciosos escondidos em sites

Pesquisadores da Forcepoint X-Labs revelaram, em abril de 2026, a materialização de uma ameaça cibernética que antes habitava o campo teórico: a Injeção Indireta de Prompt (IPI). Foram identificados dez casos confirmados dessa técnica em sites ativos na internet, demonstrando que a manipulação de agentes de inteligência artificial por meio de comandos ocultos em páginas web já compromete a infraestrutura digital real.

A IPI representa um avanço preocupante nas táticas de ataque, pois explora uma limitação fundamental dos Modelos de Linguagem de Grande Escala (LLMs). A vulnerabilidade reside na incapacidade desses modelos de distinguir entre dados que estão sendo lidos e instruções que devem ser seguidas, uma falha estrutural conhecida como ausência de fronteira dado-instrução. Quando um agente de IA, seja para coletar informações, automatizar tarefas ou processar conteúdo, visita uma página web, ele ingere todo o seu conteúdo, incluindo os comandos maliciosos escondidos, tratando-os como legítimos.

Diferente da injeção direta de prompt, onde o próprio usuário insere uma instrução maliciosa diretamente no modelo de IA, na IPI o atacante não interage com a inteligência artificial. Em vez disso, ele “envenena” a página web com os comandos ocultos e aguarda que um agente de IA a visite, tornando o ataque mais furtivo e difícil de rastrear em sua origem.

Técnicas de Ocultação: O Invisível para Humanos, Legível para IAs

Para esconder os “payloads” (os comandos maliciosos), os atacantes empregam uma variedade de técnicas de ocultação que os tornam invisíveis para qualquer visitante humano, mas perfeitamente acessíveis e compreensíveis para o contexto de um LLM. Entre os métodos identificados pelos pesquisadores estão:

• Fontes de 1 pixel;
• Cores transparentes;
• Comentários HTML;
• Tags de metadados com namespaces customizados;
• A propriedade CSS display: none, utilizada com frequência.

Alguns desses payloads são blocos de texto ocultos relativamente simples. Outros, no entanto, são mais sofisticados e imitam tokens internos de segurança de provedores de modelos. Um exemplo notável foi o site lcpdfr. com, que utilizou uma string falsa chamada ANTHROPIC_MAGIC_STRING_TRIGGER_REFUSAL na tentativa de fazer o modelo interpretar o comando como uma instrução de nível de sistema. O mesmo site também empregou tags XML que simulavam a estrutura de prompts de sistema legítimos, buscando enganar a IA em um nível mais profundo.

Casos Reais e o Espectro de Danos

Os pesquisadores classificaram os dez incidentes por intenção, revelando um espectro de danos que vai desde a manipulação de SEO até a destruição de dados críticos. As seis categorias de dano identificadas sublinham a versatilidade e o potencial destrutivo da IPI.

Entre os casos mais alarmantes, destacam-se:

• No site faladobairro. com, um comando sudo rm -rf foi embutido na página. O objetivo era forçar um agente de IA com acesso a terminal — como assistentes integrados a Ambientes de Desenvolvimento Integrado (IDEs) ou pipelines de Integração Contínua/Entrega Contínua (CI/CD) — a deletar um diretório de backup. Ferramentas como GitHub Copilot, Claude Code e revisores automatizados de código seriam alvos diretos desse tipo de payload.
• Em perceptivepumpkin. com, os atacantes incluíram um fluxo completo de transação via PayPal. me, com um valor fixo de US$ 5 mil e instruções passo a passo. Este ataque visava agentes com capacidade de efetuar pagamentos, e o uso de uma plataforma legítima, em vez de um link de phishing genérico, sugere que os atacantes compreenderam que os modelos de IA tendem a avaliar a confiabilidade de URLs antes de agir.
• O site thelibrary-welcome. uk continha um comentário HTML que forçava o modelo a vazar uma chave de API secreta, essencialmente uma credencial de acesso a sistemas.
• Já em bentasker. co. uk, a injeção se passou por autoridades, alegando falsamente uma proibição de direitos autorais para fazer o modelo recusar qualquer processamento do conteúdo da página. Como alternativa, o código malicioso instruía a IA a escrever um poema sobre milho, um payload de distração para confirmar que a injeção havia sido bem-sucedida.

O Desafio da Detecção em Escala

Um ponto crucial levantado pelos pesquisadores complica significativamente a resposta defensiva contra a IPI. Frases comumente usadas para detectar injeções de prompt, como “Ignore instruções prévias” ou “Se você é um modelo de linguagem”, aparecem também em documentos legítimos de segurança, posts técnicos e relatórios de inteligência de ameaças. Isso significa que sistemas de detecção baseados em padrões correm o risco de sinalizar conteúdo legítimo como malicioso, gerando um alto volume de falsos positivos e dificultando a identificação de ataques reais.

A Superfície de Ataque em Expansão

O impacto da Injeção Indireta de Prompt é diretamente proporcional aos privilégios e capacidades do agente de IA. Enquanto um modelo que apenas processa páginas representa um risco relativamente baixo, um agente que pode enviar e-mails, executar comandos no terminal ou processar pagamentos se torna um alvo de alto impacto, com potencial para causar danos financeiros e operacionais significativos.

A observação de padrões de injeção compartilhados entre diferentes domínios sugere que os atacantes estão utilizando kits ou templates, e não realizando experimentos isolados. Essa organização indica uma superfície de ataque que está em constante crescimento, à medida que os agentes de IA ganham mais privilégios e se integram mais profundamente em sistemas corporativos e pessoais, tornando a IPI uma ameaça cada vez mais relevante no cenário da segurança cibernética.