IA PARA NEGÓCIOS
Prompt injection: quando um documento tenta dar ordens à IA
Entenda como documentos podem tentar manipular assistentes de IA e quais cuidados protegem informações e operações.
Uma empresa pede à inteligência artificial que leia um documento. O documento, por sua vez, tenta mandar na inteligência artificial. Essa inversão resume um risco que empresários e gestores precisam conhecer antes de conectar assistentes a mensagens, arquivos e sistemas internos.
Chamado de prompt injection, ou injeção de instruções, o problema ocorre quando um conteúdo influencia indevidamente o comportamento do modelo. Na modalidade indireta, a tentativa chega por uma fonte que a IA consulta, como um arquivo, uma página ou um e-mail, e não pelo pedido legítimo do usuário. A OWASP inclui esse risco em seu catálogo de segurança para aplicações com modelos de linguagem.
Fonte: OWASP Gen AI Security Project
A questão empresarial é simples. Um documento pode fornecer informações para uma tarefa, mas não deveria ganhar autoridade para alterar suas regras. Quando essa separação falha, uma atividade aparentemente comum pode produzir uma resposta manipulada ou uma ação não autorizada.
Entender essa diferença ajuda a fazer perguntas melhores aos fornecedores, orientar funcionários e proteger informações sem abandonar as possibilidades da IA.
O problema começa quando informação vira comando
Imagine que um funcionário peça a um assistente para resumir documentos recebidos de parceiros. A tarefa autorizada é identificar assuntos, compromissos e pendências.
Dentro de um arquivo, porém, aparece um trecho tentando orientar o comportamento do assistente. Ele pode solicitar que determinada informação seja omitida ou que o sistema execute uma atividade diferente da solicitada.
O conteúdo deixa de funcionar apenas como objeto da análise e tenta assumir o papel de instrução.
A pesquisa acadêmica InjecAgent, publicada nos anais da ACL em agosto de 2024, estudou esse problema em agentes conectados a ferramentas. O trabalho reuniu situações envolvendo conteúdo externo e avaliou ataques voltados tanto a ações prejudiciais quanto à extração de dados privados. Seus resultados pertencem aos sistemas e condições examinados, não representam uma taxa universal de vulnerabilidade das ferramentas atuais.
A lição para a gestão não depende de decorar nomes técnicos. Ler uma informação e obedecer a uma ordem são operações diferentes, mesmo quando ambas aparecem escritas em linguagem natural.
Por que esse risco importa mais com agentes conectados?
Um assistente usado somente para redigir textos possui um campo de atuação diferente daquele que pode consultar arquivos internos, enviar mensagens e atualizar registros.
Quanto mais recursos estiverem disponíveis, mais importante será controlar a passagem entre interpretar conteúdo e realizar ações.
Em orientação atualizada em 23 de março de 2026, a Microsoft trata a injeção indireta como um risco de sistemas empresariais que processam fontes externas. O documento recomenda defesas combinadas, incluindo isolamento de conteúdo, restrição de privilégios e acompanhamento do comportamento do agente.
A Anthropic também reconheceu, em publicação de 24 de novembro de 2025, que a injeção de instruções continuava sendo um problema não resolvido. A empresa destacou que navegar por páginas e executar ações amplia as possibilidades de ataque. Trata-se de uma avaliação do próprio desenvolvedor sobre seus sistemas, não de uma certificação independente de segurança.
Para o empresário, isso muda a conversa sobre integração. Não basta perguntar quais aplicativos a IA consegue acessar. É necessário compreender quais consequências um conteúdo recebido pode provocar dentro desses acessos.
Não confunda injeção de instruções com informação errada
Um documento pode conter um prazo incorreto. Nesse caso, existe um problema de qualidade da informação.
Um assistente também pode produzir uma afirmação sem fundamento. Aqui, o problema está na confiabilidade da resposta.
Na injeção indireta, o elemento característico é a tentativa de fazer o conteúdo consultado interferir nas instruções ou no comportamento do sistema. Essas situações podem se combinar, mas não são equivalentes.
Essa distinção importa porque revisar a exatidão de uma resposta não é suficiente para proteger uma integração. Um texto pode apresentar dados verdadeiros e, ao mesmo tempo, tentar conduzir o assistente para uma ação indevida.
Também não é necessário que o arquivo tenha aparência suspeita. O risco está no conteúdo interpretado e nas permissões disponíveis, não apenas no nome, no acabamento ou na extensão do documento.
Exemplo hipotético: um documento de evento em uma rede de hotéis
Considere uma rede fictícia de hotéis que utiliza um assistente para organizar informações sobre eventos corporativos.
Uma coordenadora solicita a leitura do documento de um congresso. Ela quer uma síntese com horários, necessidades de equipamentos e quantidade de salas. O assistente tem acesso à pasta do evento e, por uma configuração excessivamente ampla, também consegue consultar outros arquivos e preparar comunicações externas.
No material recebido, existe uma instrução que tenta induzir o sistema a localizar uma relação interna de hóspedes e encaminhá-la a um contato externo, sob a justificativa de confirmar participantes.
A solicitação parece relacionada ao evento, mas ultrapassa o trabalho autorizado. A coordenadora pediu uma síntese operacional. Não autorizou a busca nem o compartilhamento de informações sobre hóspedes.
Se o sistema aceitar a justificativa do documento como permissão, a atividade muda de natureza sem uma decisão consciente da empresa.
Agora considere outra configuração. O assistente consegue consultar apenas os materiais daquele evento e não possui recurso para enviar mensagens. Mesmo que interprete inadequadamente o conteúdo, não dispõe dos mesmos meios para executar a ação pretendida.
Isso não torna o sistema infalível. Demonstra, porém, por que o alcance das permissões influencia o alcance do possível dano.
O exemplo é inteiramente hipotético. Não descreve um incidente real, uma marca específica nem uma falha comprovada de determinado produto.
O impacto pode aparecer antes de qualquer vazamento
A divulgação indevida de informações é uma preocupação evidente, mas não é a única.
Uma resposta manipulada pode omitir uma ressalva, favorecer uma alternativa ou apresentar uma conclusão que não corresponde ao pedido original. A OWASP reconhece tanto a exposição de informações quanto a manipulação de conteúdo entre os possíveis efeitos dessas vulnerabilidades.
Fonte: OWASP Gen AI Security Project
Na operação empresarial, isso significa que nem todo problema será percebido como um incidente de segurança. Ele pode surgir como uma decisão estranha, um resumo incompleto ou uma mensagem que ninguém pretendia enviar.
No exemplo do hotel, a equipe poderia descobrir uma tentativa de compartilhamento. Em outra situação, poderia receber apenas uma síntese que excluiu deliberadamente uma restrição importante do evento.
Por isso, perguntar somente se houve vazamento deixa parte do problema fora da análise. Também importa saber se o trabalho permaneceu fiel à finalidade autorizada.
O que cobrar de quem fornece a solução
A contratação deve esclarecer como a ferramenta separa conteúdo recebido, instruções do usuário e permissões de execução.
Uma pergunta útil é pedir que o fornecedor explique o que acontece quando um arquivo consultado tenta mudar a tarefa. A resposta precisa descrever mecanismos e limites, não apenas afirmar que o modelo é avançado.
Outra questão é verificar se as permissões podem ser separadas. Consultar uma pasta, alterar um cadastro e enviar uma mensagem são capacidades distintas. A empresa deve saber se consegue habilitar somente as necessárias.
Também vale perguntar quais evidências ficam disponíveis depois de uma ocorrência. É possível identificar o documento consultado, a ação solicitada à ferramenta e o destino de uma comunicação?
A Microsoft recomenda uma abordagem de defesa em profundidade, combinando controles em diferentes pontos do sistema. Isso reforça a necessidade de avaliar a aplicação completa, e não somente a reputação do modelo utilizado.
As respostas precisam fazer sentido para a operação. Uma explicação tecnicamente sofisticada, mas incapaz de esclarecer o que pode sair da empresa e quem autoriza essa saída, ainda deixa uma lacuna importante.
Como orientar a equipe sem transformar todos em especialistas
A recomendação prática é ensinar uma regra compreensível. Um material recebido pode trazer pedidos de terceiros, mas não concede automaticamente autorização para executá-los.
No caso do hotel, a coordenadora precisa distinguir informações sobre o congresso de solicitações que envolvam dados de hóspedes. Essa capacidade vem do conhecimento da função e dos limites da atividade.
O treinamento pode trabalhar situações em que o assistente muda inesperadamente de objetivo. Por exemplo, uma tarefa de resumo passa a pedir acesso adicional, uma leitura de documento termina em preparação de envio, ou uma resposta deixa de apresentar um ponto que deveria ser central.
Esses sinais não comprovam, isoladamente, um ataque. Eles justificam interromper a atividade e esclarecer o que aconteceu.
Também é importante oferecer um caminho de comunicação. O funcionário deve saber quem procurar e quais informações preservar. Sem isso, pode simplesmente apagar a conversa, reiniciar o trabalho e perder elementos úteis para a análise.
O que fazer diante de uma suspeita
Como orientação operacional, a prioridade é evitar que uma atividade questionável continue produzindo efeitos.
No cenário hipotético, isso significa interromper o envio, preservar o material recebido e solicitar ao responsável técnico a verificação dos acessos e ações realizados. Não significa afirmar imediatamente que houve vazamento.
A apuração deve separar três situações. O documento tentou induzir uma ação. O assistente chegou a propor essa ação. A ferramenta efetivamente a executou. São acontecimentos diferentes, com consequências diferentes.
A empresa também deve evitar encaminhar indiscriminadamente o arquivo suspeito ou informações internas para outras ferramentas em busca de uma segunda opinião. Essa reação pode ampliar a exposição que se pretendia investigar.
Se houver indícios de acesso ou compartilhamento indevido, o tratamento precisa envolver os responsáveis por segurança e proteção de dados, conforme a natureza da ocorrência.
Pontos de atenção
Não trate uma frase de proteção no comando como garantia de segurança. Instruções ajudam a orientar o sistema, mas não substituem restrições efetivas de acesso.
Também não presuma que uma base interna elimina o risco. Um repositório pode conter documentos recebidos de terceiros. O local de armazenamento não transforma automaticamente seu conteúdo em instrução autorizada.
Evite, ainda, depender exclusivamente da aparência visual. A Anthropic descreve possibilidades de instruções incorporadas a conteúdos que passam despercebidos ao usuário, enquanto continuam sendo processados pelo agente.
Finalmente, não transforme resultados de laboratório em promessas absolutas. A resistência observada em uma avaliação depende das condições examinadas. A discussão empresarial deve incluir limitações e consequências, não apenas percentuais apresentados em demonstrações.
Perguntas frequentes
Prompt injection é um vírus?
Não é a mesma coisa. A injeção busca influenciar o comportamento de um modelo por meio do conteúdo que ele processa. Pode existir em texto comum, sem um programa executável anexado.
Apenas agentes autônomos estão expostos?
Não. Um sistema que lê conteúdo externo pode sofrer influência indevida mesmo sem executar ações. As integrações ampliam as consequências possíveis quando permitem acessar informações ou modificar sistemas.
Usar uma ferramenta conhecida elimina o risco?
Não é prudente assumir isso. É necessário considerar as proteções do produto, sua configuração e os acessos concedidos. A marca, sozinha, não descreve toda a segurança da aplicação.
A solução é proibir documentos externos?
Isso pode inviabilizar atividades legítimas. O objetivo é permitir a leitura sem transformar o documento em autoridade para alterar instruções ou ampliar permissões.
Quem deve cuidar desse assunto na empresa?
A gestão define as finalidades e os limites do trabalho. A equipe técnica ou o fornecedor implementa controles. Os profissionais da operação ajudam a reconhecer comportamentos incompatíveis com a tarefa. Essas responsabilidades precisam se complementar.
A IA precisa compreender documentos sem receber ordens deles
O valor de um assistente empresarial está em ajudar a executar o trabalho autorizado. Um conteúdo recebido pode contribuir com informações, mas não deveria redefinir silenciosamente esse trabalho.
Para gestores, compreender prompt injection é uma forma de avaliar melhor integrações, contratos e práticas de uso. Para as equipes, significa aprender a reconhecer quando a ferramenta ultrapassa a finalidade original.
A Emprezaria Digital Treinamentos pode apoiar essa preparação com capacitação em inteligência artificial aplicada aos negócios. Conhecer recursos é importante. Entender seus limites e reconhecer situações de risco faz parte da mesma competência profissional.
Fontes consultadas
- InjecAgent, Findings of ACL 2024. Pesquisa acadêmica publicada em agosto de 2024 sobre injeções indiretas em agentes conectados a ferramentas.
- OWASP, LLM01:2025 Prompt Injection. Referência sobre definição, impactos e medidas de mitigação.
- Microsoft Learn, Defend against indirect prompt injection attacks. Orientação atualizada em 23 de março de 2026.
- Anthropic, Mitigating the risk of prompt injections in browser use. Publicação de 24 de novembro de 2025 sobre riscos e defesas em agentes que utilizam navegadores.
Aprenda a aplicar IA no seu negócio
Conheça os treinamentos da Emprezaria Digital para transformar ferramentas de IA em processos que geram resultados reais.
© Emprezaria Digital Treinamentos