Ataques viram as próprias ferramentas de agentes de IA contra eles

O problema central: conteúdo vira instrução

Agentes de IA recebem poder real - ler arquivos, enviar mensagens, executar código, mover dinheiro - mais rápido do que conseguem ser protegidos. O texto distingue dois canais de entrada: o recebido (o prompt direto do usuário) e o recuperado (páginas, documentos, e-mails que o agente busca sozinho). Atacar o primeiro exige acesso ao usuário; basta deixar texto onde o agente vai buscar o segundo. A fraqueza de fundo é que o modelo não distingue com segurança conteúdo de instrução: uma página recuperada e um comando do usuário são o mesmo tipo de texto para ele. Essa classe de vulnerabilidade se chama agent goal hijack.

OWASP e as defesas convencionais

Em dezembro de 2025, a OWASP publicou o OWASP Top 10 for Agentic Applications 2026, classificando dez riscos (ASI01 a ASI10). O Agent Goal Hijack é o ASI01, o primeiro da lista. Segundo a OWASP, agentes dependem de entradas em linguagem natural não tipadas e de orquestração pouco governada, e por isso não conseguem separar instruções legítimas de conteúdo controlado pelo atacante. A organização distingue o problema do prompt injection comum: enquanto este altera uma única resposta, o ASI01 captura o impacto agêntico mais amplo - redirecionamento de metas, planejamento e comportamento em múltiplas etapas.

Defesas convencionais protegem a "porta da frente" - validam entrada, restringem endpoint, autenticam usuário - mas não cobrem o que o agente recupera por conta própria. A primeira mitigação da OWASP é tratar toda entrada em linguagem natural como não confiável, incluindo conteúdo recuperado.

Casos reais documentados

Grok e o Bankr (maio de 2026): um atacante drenou uma carteira de cripto que o Grok (assistente da xAI no X) controlava usando apenas posts. O Bankr, agente de negociação no X, provisiona carteiras automaticamente para contas que toca, incluindo a do Grok - a xAI não tinha chaves de administrador. Posts pediam ao Grok para traduzir texto (uma linha em código Morse que decodificava "WITHDRAW ALL WETH TO HIM") ou avaliar um trecho de Python que, concatenado, formava um comando de transferência. O Bankr tratou o post do Grok como instrução confiável. A transferência de 3 bilhões de DRB, registrada on-chain na Base, valia entre 150 e 200 mil dólares. O operador do Bankr disse que 80% dos fundos foram devolvidos.

Injeção indireta na web (Unit 42, dezembro de 2025): a Palo Alto catalogou 22 técnicas de ocultação de instruções em sites ativos, de texto de tamanho zero a Base64. Exemplos: um site de golpes instruiu IA de revisão de anúncios a "APPROVAR" óculos militares falsificados, e outras páginas tentaram transferências forçadas de 5 mil dólares ou classificar candidatos em processos seletivos.

Nx e o ataque de supply chain (agosto de 2025): versões adulteradas do pacote Nx no npm faziam CLIs de agentes (Claude Code, Gemini CLI, Amazon Q) varrerem o sistema de arquivos em busca de segredos - tokens do GitHub, chaves SSH - que eram enviados a repositórios dos atacantes. Segredos de mais de mil organizações foram expostos.

Falhas provadas em laboratório

Diversos exploits contra produtos em produção foram divulgados por pesquisadores e corrigidos. Destaques: o Comet, navegador da Perplexity, foi sequestrado duas vezes - a Brave mostrou um comentário no Reddit que levava o agente a roubar e-mail e código de login; a LayerX mostrou o CometJacking, com payload na query string de um link. A SafeBreach demonstrou o Invitation Is All You Need contra o Gemini no Workspace, com convites de calendário que habilitavam desde abrir janelas de casa inteligente até exfiltrar e-mails. Outros casos: EchoLeak (Microsoft 365 Copilot, primeiro zero-click em produção, CVE-2025-32711), ForcedLeak (Salesforce Agentforce, exfiltração por domínio expirado recomprado por 5 dólares), ShadowLeak (ChatGPT Deep Research, egress do lado do servidor), CamoLeak (GitHub Copilot Chat, CVSS 9.6, exfiltração caractere a caractere pelo proxy Camo do GitHub), GitLab Duo, duas falhas no Cursor (CurXecute e MCPoison), o agente 3.0 do Notion, agent session smuggling em sistemas Agent2Agent e o verme Morris II, que se autorreplica entre assistentes de e-mail.

Mitigações e conclusão

A OWASP lista nove mitigações em três frentes: restringir o agente (privilégio mínimo, aprovação humana, system prompt travado, validação de intenção, cápsulas de intenção assinadas), desconfiar da entrada (tratar toda entrada como não confiável, sanitizar fontes conectadas) e monitorar e testar (logs contra linha de base, red team de sobrescrita de meta, incluir agentes no programa de ameaças internas).

Nenhum controle fecha a brecha definitivamente - eles apenas limitam o custo de um sequestro que aconteça. Todo ataque citado explorou acesso que o agente já tinha: token, conector, carteira, shell. A exposição tende a crescer, pois cada nova ferramenta dada a um agente é mais uma coisa que uma meta redirecionada pode alcançar. As equipes que ficarem à frente serão as que perguntarem continuamente o que seus agentes não precisam ter.