Como hackers transformam agentes de IA em armas contra os usuários

Toda vez que a indústria de inteligência artificial dá um passo adiante, os criminosos dão o seu. Uma nova análise publicada no Habr acompanha a evolução dos sistemas de IA, dos primeiros modelos de linguagem aos agentes multimodais, e mostra como, a cada etapa, surgiram ameaças de cibersegurança radicalmente novas. A tese central dos autores é preocupante, mas previsível: quanto mais autonomia a IA ganha, mais perigosas se tornam suas vulnerabilidades.

A história começou de forma relativamente inofensiva. Quando os grandes modelos de linguagem surgiram, os principais problemas eram as alucinações e o vazamento de dados dos conjuntos de treinamento. Os usuários temiam que um chatbot revelasse informações pessoais de terceiros ou gerasse código malicioso. Esses riscos não desapareceram, mas ao lado deles cresceu algo muito mais sério. Os sistemas de IA atuais deixaram de ser simples geradores de texto. Eles processam imagens e fala, interagem com serviços externos, tomam decisões e executam cadeias de ações sem participação humana. É justamente essa autonomia que os tornou um alvo atraente para uma nova geração de ciberataques.

Os autores do estudo apresentam exemplos concretos que dão o que pensar. O agente Deep Research, da OpenAI, criado para a análise aprofundada de informações na internet, mostrou-se vulnerável a ataques que permitem acessar o e-mail do usuário sem que ele perceba. O mecanismo explora a própria natureza do agente: ele sabe abrir links, processar o conteúdo de páginas web e interagir com serviços. Basta ao invasor preparar uma página especialmente construída, com instruções maliciosas disfarçadas no conteúdo, e o agente, ao processá-la, pode executar ações que beneficiam o invasor, e não o usuário.

A situação dos navegadores com IA é ainda mais preocupante. São sistemas capazes de navegar sozinhos pela internet, preencher formulários e concluir transações. Os pesquisadores demonstram que esses sistemas estão sujeitos a vulnerabilidades que permitem executar ações arbitrárias em páginas web em nome do usuário. Na prática, isso significa que um invasor pode fazer um navegador com IA abrir um link de phishing, inserir dados em um site falso ou até pagar em uma loja virtual falsa. O usuário pode não desconfiar de nada, afinal delegou as tarefas rotineiras ao agente justamente para não ter de controlar cada passo.

A raiz do problema está na arquitetura dos transformers e na forma como os modelos atuais processam os dados de entrada. Os transformers não distinguem fontes de informação confiáveis de não confiáveis. Para o modelo, uma instrução do usuário e o texto de uma página web maliciosa passam pelo mesmo mecanismo de atenção. Isso viabiliza os chamados ataques de prompt injection, nos quais o invasor embute instruções maliciosas no conteúdo que o agente processa ao executar uma tarefa. O modelo as trata como legítimas e as segue, o que, na prática, entrega o controle do agente ao atacante.

As consequências para a indústria são difíceis de exagerar. As empresas estão incorporando agentes de IA em massa aos processos de negócio, dando a eles acesso a e-mails corporativos, sistemas de CRM e ferramentas financeiras. Se um agente pode ser comprometido pelo processamento de conteúdo externo, a ameaça atinge não apenas usuários isolados, mas organizações inteiras. Além disso, as defesas tradicionais, como antivírus e firewalls, não foram projetadas para essa classe de ataque, porque a atividade maliciosa não vem de um software externo, e sim de uma ferramenta de IA confiável, que age dentro de suas atribuições normais.

Os desenvolvedores de sistemas de IA, claro, têm consciência desses riscos. OpenAI, Google e Anthropic investem em mecanismos de proteção: filtragem de prompts, separação de níveis de acesso e confirmação de ações críticas pelo usuário. Porém, a corrida entre as capacidades dos agentes e os métodos de proteção ainda não pende a favor da segurança. O mercado exige agentes cada vez mais autônomos e funcionais, e cada nova capacidade é um possível vetor de ataque.

A indústria chegou a um momento decisivo. Antes de entregar aos agentes de IA as chaves da nossa vida digital, convém garantir que as fechaduras sejam confiáveis. Por ora, essa garantia não existe para pesquisadores nem para desenvolvedores, e muito menos para os usuários, que, em busca de comodidade, correm o risco de virar vítimas de ataques cuja existência nem sequer suspeitam.