O que começou como uma simples consulta sobre abacates em um aplicativo de compras terminou com a execução indevida de comandos e o vazamento de configurações internas de servidores corporativos. Na conferência global de segurança cibernética Black Hat, realizada em Las Vegas, pesquisadores demonstraram como o assistente virtual de inteligência artificial de uma das três maiores varejistas dos Estados Unidos foi manipulado para ultrapassar suas defesas e executar código não autorizado em seus sistemas de retaguarda.

A Anatomia da Injeção Indireta de Prompts

Apresentado pelos especialistas Netanel Rubin e Dan Avraham, da empresa Rein Security, o ataque explorou uma das funcionalidades mais avançadas dos novos agentes de IA de compras: a capacidade de comparar produtos buscando informações dinâmicas na internet pública.

Ao realizar consultas para responder às dúvidas dos usuários, o agente de IA acessa conteúdos externos fora do ecossistema controlado da varejista. Os pesquisadores inseriram instruções maliciosas ocultas em páginas sob seu controle na web. Quando o assistente de compras consumiu essas informações para gerar uma resposta comparativa, foi induzido a interpretar essas instruções embutidas como se fossem comandos diretos do sistema.

Esse vetor de ataque — categorizado como injeção indireta de prompt (indirect prompt injection) — aproveita a dificuldade dos modelos de linguagem em diferenciar dados contextuais passivos de instruções imperativas de execução.

Brechas no Escudo de Defesa e Execução Remota de Código

Para evitar abusos, a varejista havia implementado um agente de segurança responsável por filtrar o chat principal e rejeitar qualquer pergunta não relacionada a compras. No entanto, os pesquisadores descobriram falhas na cobertura dessa camada de proteção:

  • Campo de Busca sem Filtros Robustos: Enquanto o chat convencional bloqueava comandos fora do escopo, o campo de pesquisa tradicional do aplicativo não contava com o mesmo rigor de monitoramento.
  • Revelação da Estrutura Interna: Pela caixa de busca, a equipe conseguiu induzir a IA a detalhar as ferramentas internas e funções programáticas às quais o bot tinha acesso, incluindo os parâmetros exatos de chamada.
  • Execução de Código no Ambiente do Servidor: Munidos dessa estrutura, os pesquisadores enviaram instruções que forçaram o assistente a rodar scripts no ambiente de computação em que operava. O bot retornou listagens de diretórios internos e variáveis de ambiente confidenciais.
  • Confirmação por Divisão por Zero: Em um dos testes controlados, a IA foi orientada a processar uma divisão matemática por zero; o erro retornado em Python confirmou que o código dos invasores havia sido de fato executado dentro do servidor.

O Ponto Cego dos Agentes Autônomos

A vulnerabilidade expõe um dos maiores desafios da engenharia de software moderna: a autonomia dos agentes de IA. Diferente dos antigos chatbots que apenas geravam textos estáticos, os agentes contemporâneos utilizam ferramentas de sistema, realizam requisições HTTP, interagem com APIs e executam operações complexas de inventário e checkout.

No caso analisado, os sistemas de segurança da empresa monitoravam apenas as entradas do usuário e as respostas finais entregues no chat, criando um ponto cego crítico para tudo o que acontecia nos bastidores — ferramentas acionadas, dados intermediários consumidos e conexões externas estabelecidas.

Além da brecha de execução de código, a análise do tráfego do aplicativo revelou chaves de API do Google Maps expostas sem as devidas restrições de segurança, o que permitiria a terceiros consumir cotas pagas e sobrecarregar os custos de infraestrutura da companhia.

Divulgação Responsável e Próximos Desafios

A Rein Security informou que todas as falhas foram reportadas à gigante varejista em 13 de março. Os pesquisadores conduziram as demonstrações em um ambiente estritamente isolado em suas próprias contas, sem expor dados reais de clientes, sem alterar pedidos ou comprometer o inventário.

O caso acende um alerta urgente para a indústria de tecnologia: conforme as empresas integram agentes de inteligência artificial a bancos de dados e ferramentas de execução, a segurança precisa ser repensada a partir do princípio de que qualquer dado vindo da web é potencialmente hostil, exigindo sandboxing rigoroso e validação estrita em todas as camadas de processamento.