A injeção de prompt é um risco operacional em que invasores inserem instruções em dados fornecidos por usuários, documentos ou conteúdos externos consumidos por um agente de IA. Ao contrário das vulnerabilidades de software que exigem a exploração de falhas no código, a injeção de prompt se aproveita do comportamento do modelo de seguir instruções: o modelo pode ser levado a ignorar regras de segurança, revelar dados confidenciais ou executar ações que não deveria. Para empresas que criam fluxos de trabalho com agentes, entender como e onde as entradas são processadas é o primeiro passo para reduzir a exposição.
A injeção direta de prompt ocorre quando um usuário formula deliberadamente mensagens para substituir as instruções do sistema — por exemplo, pedindo a um agente que revele informações ou execute um comando de alto risco, apresentado como uma consulta inofensiva. Esses ataques são simples, mas eficazes quando as mensagens dos usuários são tratadas como autoridade. Do ponto de vista operacional, os sistemas que aceitam comandos em texto livre ou permitem que prompts de usuários finais cheguem à lógica de decisão correm maior risco.
A injeção indireta de prompt oculta instruções maliciosas em conteúdos recuperados pelo agente — páginas da web, anexos, documentos coletados ou APIs de terceiros. O agente pode consumir esse conteúdo para resumir, extrair fatos ou gerar ações. Se o fluxo de recuperação não diferenciar fontes confiáveis de conteúdos fornecidos por usuários ou não verificados, os invasores podem inserir instruções que o modelo tratará como parte do contexto da tarefa, levando a comportamentos inesperados.
Quando um agente é comprometido, as consequências vão além de uma única resposta. As ferramentas conectadas (calendários, sistemas de chamados, repositórios de arquivos e consoles de nuvem) e as credenciais às quais o agente tem acesso podem ser usadas indevidamente para vazar registros confidenciais, criar contas não autorizadas ou acionar processos internos da empresa. O perfil de risco depende dos privilégios do agente, da quantidade de dados que ele pode ler e da exigência — ou não — de validação antes da execução de ações de alto impacto.