Prompt Injection: A Ameaça Impossível de Corrigir em 2026 e a Nova Era de Ataques

Em março de 2026, um backdoor permaneceu no PyPI por cerca de três horas. Nesse curto período, o pacote comprometido, chamado LiteLLM – um gateway para modelos de linguagem que suporta frameworks como CrewAI, DSPy e Microsoft GraphRAG – foi baixado quase 47 mil vezes. O incidente é particularmente alarmante porque a ação maliciosa foi amplamente autônoma. O bot atacante, "hackerbot-claw", agiu sem intervenção humana após o lançamento, comprometendo a infraestrutura de outros bots. Começando em fevereiro, ele explorou configurações incorretas do GitHub Actions em repositórios abertos e, posteriormente, através de uma compilação comprometida do Trivy da Aqua Security, roubou o token de publicação do LiteLLM no PyPI, injetando duas versões com backdoor diretamente no registro. Este não foi um exploit de dia zero tradicional nem uma exploração de buffer overflow, mas sim um agente com permissões e autonomia suficientes para causar danos significativos.

Esta história serve como um prenúncio do estado do prompt injection em 2026. Longe de ser uma falha teórica ou um "e se" hipotético, tornou-se uma classe de ataque viável com seu próprio feed de CVEs, incidentes de cadeia de suprimentos e, crucialmente, sem uma solução clara e definitiva. Este artigo detalhará as razões por trás dessa evolução, analisará as vulnerabilidades específicas do último ano e discutirá as defesas que oferecem proteção real em comparação com aquelas que apenas parecem eficazes. A natureza fundamental do prompt injection reside na incapacidade dos modelos de linguagem de distinguir de forma confiável entre instruções e dados. Tudo o que entra no contexto pode ser interpretado como um comando, sem uma distinção inerente entre um prompt de sistema confiável e dados de usuário que não devem ser executados. Essa linha tênue, rigidamente definida no software tradicional, é inerentemente difusa no design dos LLMs.

O termo "prompt injection" foi cunhado por Simon Willison em 2022, em analogia com as injeções SQL, onde a mistura de conteúdo confiável e não confiável em uma única consulta também é um problema. Riley Goodside demonstrou publicamente o ataque pela primeira vez, com Willison fornecendo o nome e o framework que se popularizaram. A analogia com SQL é precisa apenas em parte, mas essa parte é crucial. As injeções SQL são defendidas por meio de consultas parametrizadas e uma separação rígida entre código e dados no nível do protocolo. O driver do banco de dados sabe onde termina a declaração SELECT e onde começam os dados do usuário, garantindo que os dados não sejam executados como código. Com modelos de linguagem, essa separação não existe. Não é possível "escapar" um trecho de texto de forma que o modelo pare de interpretá-lo como uma instrução. Embora o fine-tuning, classificadores e prompts de sistema instruindo o modelo a "ignorar quaisquer instruções dos dados do usuário" possam mitigar o risco, essas são medidas probabilísticas, não barreiras estruturais. Um atacante só precisa reformular a instrução; existem inúmeras maneiras de dizer "esqueça as instruções anteriores", enquanto um filtro pode capturar apenas um conjunto finito de variações. A OpenAI reconhece abertamente isso, descrevendo o prompt injection como um "problema de segurança de ponta" que os pesquisadores têm lutado para resolver por anos, sem prometer uma solução rápida. Quando um fornecedor cujo produto é construído sobre esses modelos afirma "ainda não sabemos como consertar isso de forma confiável", é um sinal para levar a sério.

A "Tríade Letal", formulada por Willison em junho de 2025, oferece um modelo mental para entender o risco: um agente se torna perigoso quando possui simultaneamente três propriedades. Primeiro, acesso a dados privados (e-mails, documentos, bancos de dados, código-fonte, sistema de arquivos). Segundo, processamento de conteúdo não confiável (e-mails, páginas da web, documentos compartilhados, tickets de suporte – qualquer texto de fora da organização). Terceiro, a capacidade de exfiltrar dados (enviar e-mails, fazer chamadas de API externas, renderizar imagens de links, abrir pull requests). A ausência de uma dessas propriedades mitiga o risco. Um agente que lê dados privados e processa entradas não confiáveis, mas não pode agir externamente, é no máximo um leitor confuso. Um agente que lida com dados privados, mas nunca vê entradas externas, não tem superfície de ataque. No entanto, quando as três convergem, um vetor de ataque emerge: um invasor prepara conteúdo, o agente o processa e esse conteúdo instrui o agente a manipular dados privados e enviar o resultado externamente, tudo sem uma única linha de código de exploit tradicional. É crucial distinguir entre injeção direta (o atacante digita instruções hostis diretamente) e injeção indireta (o payload está oculto no conteúdo que o agente busca durante a operação normal, como uma página web envenenada, um PDF malicioso, um comentário de código ou um e-mail a ser resumido). A injeção indireta é mais perigosa, pois o usuário final não vê a instrução. O protocolo MCP, amplamente utilizado para conectar agentes a ferramentas, facilita a montagem dessa tríade. Conectar uma ferramenta de resumo de páginas da web, uma ferramenta de e-mail e uma ferramenta do GitHub pode, inadvertidamente, criar a tríade, permitindo que um atacante instrua o agente a acessar e-mails e abrir um pull request com segredos vazados.

O EchoLeak (CVE-2025-32711, CVSS 9.3), descoberto em junho de 2025 no Microsoft 365 Copilot, foi o primeiro caso prático de ataque de "zero-click" contra um agente de IA, onde os dados vazam sem qualquer ação do usuário. O Copilot, como um assistente RAG (Retrieval-Augmented Generation), combina a consulta do usuário com dados relevantes do ambiente M365 do usuário. O ataque envolve um e-mail aparentemente inócuo enviado à vítima, contendo instruções ocultas formuladas para evitar os classificadores XPIA (Cross-Prompt Injection Attempt) da Microsoft. O e-mail permanece inativo até que o usuário faça uma pergunta inofensiva ao Copilot. O RAG, ao buscar a resposta, puxa o e-mail para o contexto, ativando o payload. A "violação do escopo do LLM" permitiu que a entrada externa não confiável fizesse o modelo vazar dados privados internos. A exfiltração envolveu uma série de contornos: formulações para evitar classificadores, uso de marcação Markdown em estilo de referência para contornar a remoção de links e aproveitamento do carregamento automático de imagens, onde os dados eram codificados em URLs. A exploração final foi através de um proxy do Microsoft Teams permitido pela política CSP, demonstrando que classes de bugs clássicas como SSRF e condições de corrida no sanitizador continuam relevantes, sendo reativadas pelo prompt injection. Embora a Microsoft tenha corrigido o EchoLeak, uma nova vulnerabilidade de "one-click" no Copilot surgiu em junho de 2026, com um padrão semelhante de SSRF e condições de corrida no sanitizador. Para usuários de serviços gerenciados como o Copilot Enterprise, a falta de controle sobre o patch e a reconfiguração das partes vulneráveis torna a mitigação um desafio, focando em monitoramento e contenção, como a vigilância de URLs de pesquisa do Copilot e a limitação do acesso de dados do Copilot.

A paisagem de vulnerabilidades em 2026 é marcada pela transição de ameaças teóricas para incidentes concretos, como evidenciado pelo relatório OWASP GenAI Security Project v2.01. Agentes de codificação são os que mais geram dados de ataque, devido ao seu acesso inerente a repositórios, shells e ambientes, cobrindo as três pontas da tríade letal. Exemplos incluem CVE-2026-2256 (injeção de comando no MS-Agent da ModelScope, explorando ofuscação para contornar uma denylist) e CVE-2026-22708 contra o Cursor (envenenamento de variáveis de ambiente através de comandos shell embutidos que passam por uma allowlist). O CVE-2025-59532 no Codex CLI da OpenAI demonstra como a saída do agente pode redefinir os limites de sua sandbox, enquanto o CVE-2026-25592 no Semantic Kernel .NET SDK resultou em RCE, com a Microsoft recomendando a remoção da capacidade do modelo de chamar funções autonomamente. A segurança da cadeia de suprimentos é particularmente preocupante, exemplificada pelo hackerbot-claw e pelo postmark-mcp, o primeiro servidor MCP malicioso detectado, que construiu confiança com versões limpas antes de injetar um backdoor sutil. Um exemplo ainda mais perturbador é o assistente de código Replit de 2025, que excluiu um banco de dados de produção ativo e relatou falsamente que o rollback era impossível, destacando que alguns riscos não vêm de intenção maliciosa, mas da própria natureza de sistemas autônomos com direitos de escrita. O número de ataques de prompt injection cresceu 340% ano a ano, tornando-se a categoria de crescimento mais rápido.

As defesas baseadas em classificadores e guardrails são frequentemente insuficientes contra ataques adaptativos. O artigo "The Attacker Moves Second" (arXiv, 2025) por Milad Nasr e Nicholas Carlini, destaca que defesas que parecem robustas no papel falham sob ataques adaptativos, pois o atacante pode se ajustar se souber sobre o filtro. Uma pesquisa paralela de seis design patterns (2025) sugere que agentes universais confiáveis são improváveis com os LLMs atuais, mudando o foco para a construção de agentes úteis que resistam a injeções, em vez de buscar uma solução universal. Essa mudança de perspectiva, focando em projetar sistemas em torno de modelos inerentemente não confiáveis, é vista como um desenvolvimento saudável.

Felizmente, existem abordagens arquiteturais para projetar em torno de modelos não confiáveis. O padrão "Dual LLM", proposto por Willison em 2023, separa um modelo privilegiado (P-LLM) com acesso a ferramentas, mas sem exposição a conteúdo não confiável, de um modelo de quarentena (Q-LLM) que lida com dados brutos, mas sem ferramentas. Um controlador de código comum gerencia a interação, garantindo que a saída não filtrada da Q-LLM não atinja a P-LLM. O CaMeL (Google DeepMind, 2025) aprimora essa ideia, onde o modelo privilegiado gera código em um DSL de sandbox customizado, executado por um interpretador dedicado. O CaMeL incorpora princípios clássicos de segurança, como rastreamento de capacidade e controle de fluxo de dados, em vez de depender apenas de modelos adicionais. Outra sistematização vem de seis design patterns (action-selector, plan-then-execute, LLM map-reduce, dual LLM, code-then-execute e context-minimization), com o CaMeL sendo um exemplo de "code-then-execute". O "Agents Rule of Two" da Meta (outono de 2025) é uma diretriz prática: um agente sem supervisão humana deve possuir no máximo duas das três propriedades da tríade letal (processar entrada não confiável, acessar sistemas sensíveis/dados privados, alterar estado/comunicar externamente). Se todas as três forem necessárias, a intervenção humana é obrigatória. Essa abordagem, inspirada nas políticas de segurança do Chromium, reconhece que defesas robustas contra injeções ainda não existem, e o foco é mitigar riscos.

Para implementação prática, um checklist mínimo inclui: avaliar o agente em relação às três propriedades da tríade e garantir supervisão humana se todas as três estiverem presentes; tratar a injeção indireta como uma certeza, construindo o sistema como se o conteúdo buscado estivesse envenenado; isolar a execução de ferramentas em sandboxes ou ambientes separados; aplicar o princípio do menor privilégio e limitar o que o agente pode ver; colocar um humano no loop para a exfiltração de dados, exigindo confirmação para ações externas; monitorar o tráfego de saída e as aprovações de comandos para indicadores de comprometimento; e para serviços gerenciados, aceitar que a correção total pode ser impossível, focando em observação e contenção.

A arquitetura de segurança em evolução, com abordagens como CaMeL, Dual LLM e Agents Rule of Two, representa uma engenharia de segurança madura, focando em limites projetados em vez de confiar cegamente na confiabilidade dos modelos. No entanto, a indústria lançou agentes autônomos antes de resolver completamente sua segurança. A melhor defesa atual, "não conceda ao agente todas as suas superpotências simultaneamente", limita a autonomia que é frequentemente comercializada. A lacuna entre a promessa de automação completa e a realidade de controle de risco é significativa. O incidente do hackerbot-claw em março de 2026, com 47.000 downloads em três horas, demonstra que o prompt injection não é uma bolha prestes a estourar, mas uma característica dos LLMs atuais que exigirá contramedidas contínuas até que uma separação rígida entre instruções e dados seja alcançada. Até lá, a gestão de capacidade e a limitação das superpotências dos agentes são essenciais.