Artem Semyonov, do PWN AI: como agentes de IA apagam arquivos e hackeiam a si mesmos

Em 2026, o Habr publicou uma entrevista com Artem Semyonov, autor do canal PWN AI no Telegram, dedicado ao uso inseguro de inteligência artificial. O tema: como funciona a segurança de sistemas de IA e por que os ataques a modelos de linguagem viraram uma disciplina à parte, com taxonomia, ferramentas e incidentes reais próprios.

Como cresceu a superfície de ataque

Segundo Semyonov, a chegada dos agentes de IA autônomos e do protocolo MCP (Model Context Protocol) ampliou drasticamente a superfície de ataque a sistemas de IA. Antes, o problema se resumia basicamente à manipulação das respostas do modelo de linguagem. Agora, os agentes podem executar ações no mundo real por conta própria: apagar arquivos, enviar dados para fora e até hackear a si mesmos. Com isso, as consequências de um ataque bem-sucedido ficam muito mais concretas do que uma simples "resposta errada" de chatbot.

Por que o prompt de sistema não resolve

A tese central da entrevista é que o prompt de sistema não é uma barreira de segurança. As instruções que os desenvolvedores colocam no prompt do modelo podem ser contornadas, e não vale a pena contar com elas como proteção. Semyonov também detalha a diferença entre prompt injection direto (direct), em que o próprio usuário insere a instrução maliciosa no diálogo com o modelo, e prompt injection indireto (indirect), em que a instrução maliciosa chega ao modelo por dados externos — documentos, páginas web, e-mails ou resultados de ferramentas que o agente processa durante a tarefa, sem sequer desconfiar disso.

• Entrevistado: Artem Semyonov, autor do canal PWN AI no Telegram, sobre uso inseguro de IA
• Esta é a segunda entrevista de Semyonov ao Habr: a primeira conversa sobre segurança da informação e IA saiu em 2023
• Temas principais: crescimento da superfície de ataque por causa dos agentes e do protocolo MCP, limitações do prompt de sistema como proteção, diferença entre prompt injection direto e indireto
• A segurança de sistemas de IA é descrita como uma disciplina própria, com taxonomia e ferramentas específicas, e não como um tema secundário da segurança da informação clássica

O que está por trás da palavra "taxonomia"

Semyonov ressalta que proteger sistemas de IA já não se resume a um conjunto de dicas soltas, como "não confie na entrada do usuário". Trata-se de uma disciplina estruturada, com classificação própria de ataques, ferramentas de teste específicas e um conjunto de incidentes documentados que servem de referência. Para engenheiros e empresas que integram modelos de linguagem e agentes em seus produtos, isso significa planejar a defesa contra esses ataques de forma tão sistemática quanto a defesa contra vulnerabilidades clássicas, como SQL injection ou XSS — em vez de confiar que o modelo vai "se virar sozinho" para perceber onde termina uma instrução legítima e começa um ataque.

Por que o assunto volta pela segunda vez

Não é a primeira vez que o Habr aborda segurança de IA com esse entrevistado: uma conversa parecida com Semyonov já tinha sido publicada na plataforma em 2023. A decisão de retomar o tema e atualizar as informações já diz muito. Nesse intervalo, o setor passou de chatbots simples, que no pior caso davam uma resposta inadequada, para agentes autônomos com acesso ao sistema de arquivos, a serviços externos e a ferramentas via protocolos como o MCP. As apostas subiram na mesma proporção: uma falha de proteção agora pode custar não um diálogo estragado, mas arquivos de fato apagados ou dados vazados.

O que isso significa

A conversa registra uma mudança de escala. Até pouco tempo atrás, ataques a modelos de linguagem eram mais um exercício acadêmico. Com a disseminação de agentes autônomos que de fato apagam arquivos, enviam dados para fora e estão sujeitos a se autoatacar, a segurança de sistemas de IA vira um problema prático de engenharia — como a segurança de qualquer outro software crítico, só que com uma nova taxonomia de ameaças, específica para agentes e para o protocolo MCP.