Pesquisadores Expõem Falha em Assistente de IA de Grande Varejista: Injeção de Prompt Permitiu Execução de Código e Vazamento de Dados

O que começou como uma simples pesquisa comparativa sobre abacates terminou com a quebra completa de barreiras de segurança e a exposição de variáveis de ambiente e arquivos internos de um dos maiores gigantes do varejo dos Estados Unidos. A revelação foi feita durante a prestigiada conferência de segurança ofensiva Black Hat, em Las Vegas, colocando em evidência os riscos ocultos da integração apressada de agentes autônomos de inteligência artificial em aplicações de consumo em massa.

Os pesquisadores Netanel Rubin e Dan Avraham, fundadores da empresa de cibersegurança Rein Security, demonstraram ao vivo como conseguiram ludibriar o assistente de compras inteligente integrado ao aplicativo móvel oficial da rede varejista (classificada entre as três maiores do país). O recurso, concebido originalmente para ajudar clientes a navegar pelo catálogo, comparar itens e sanar dúvidas sobre produtos, acabou sendo transformado em um vetor para execução de código arbitrário no ambiente de computação em nuvem da empresa.

O Mecanismo da Intrusão: Como Funcionou o Ataque de Injeção Indireta

Diferente dos tradicionais ataques que exploram falhas em código de baixo nível (como buffer overflows), a vulnerabilidade residia na arquitetura de tomada de decisão do próprio modelo de linguagem (LLM) que alimenta o assistente:

  1. Consulta Externa para Comparação: Para atender a perguntas complexas e detalhar especificações, o assistente foi projetado para navegar e extrair informações contextuais de sites externos na web aberta.
  2. Injeção Indireta de Prompt (Indirect Prompt Injection): Os pesquisadores inseriram instruções maliciosas ocultas dentro de páginas web controladas por eles. Quando o bot do aplicativo acessou essas páginas para coletar dados, o modelo foi induzido a interpretar o texto malicioso não como mero dado a ser resumido, mas sim como um comando imperativo com privilégios de execução.
  3. Burlando a Camada de Moderação: Embora o aplicativo contasse com um filtro prévio no chat principal para impedir solicitações fora do escopo de compras, o campo de busca convencional do app não possuía a mesma blindagem, permitindo o envio das cargas úteis (payloads).
  4. Execução de Código no Backend: Uma vez contornada a barreira, o assistente foi forçado a interagir com seu interpretador interno. Em uma das demonstrações, os especialistas instruíram o sistema a realizar uma divisão por zero em Python, gerando uma mensagem de erro de compilação detalhada que comprovou o acesso e a execução de comandos dentro do servidor subjacente.

A partir desse ponto, o assistente retornou listagens de diretórios internos, variáveis de ambiente e documentações de chamadas de API do sistema que jamais deveriam estar acessíveis a um usuário comum.

Chaves de API Vazadas e Ponto Cego Estrutural

Além da injeção de prompt, a análise do tráfego decodificado do aplicativo móvel revelou outro descuido crítico de arquitetura: chaves de API do Google Maps trafegando sem restrições adequadas de domínio ou IP. Caso interceptadas por agentes mal-intencionados, essas credenciais poderiam ser utilizadas para disparar milhares de requisições fraudulentas, gerando prejuízos financeiros substanciais e esgotando limites de consumo da conta institucional do varejista.

Segundo os analistas da Rein Security, a maior deficiência dos sistemas de proteção atuais é a existência de um grave ponto cego:

"As empresas monitoram a entrada da mensagem do usuário e a resposta final entregue na tela, mas negligenciam tudo o que o agente de IA faz nos bastidores — as ferramentas que aciona, as páginas que visita e os comandos intermediários que executa."

Notificação Sem Resposta e Lições para o Futuro do Software com IA

Os pesquisadores relataram que notificaram formalmente a varejista sobre a falha crítica em 13 de março. No entanto, após o prazo padrão de 90 dias de divulgação responsável (responsible disclosure), as brechas ainda não haviam sido devidamente corrigidas até meados de julho.

Embora o teste tenha sido estritamente ético e controlado — sem acessar dados de clientes reais, alterar pedidos ou comprometer a integridade dos bancos de dados centrais —, a demonstração acende um alerta vermelho para toda a indústria de desenvolvimento de software.

À medida que grandes empresas correm para equipar assistentes de IA com permissões ativas de leitura e escrita (como montar carrinhos, consultar estoques e processar transações financeiras), a premissa de segurança básica deve mudar: qualquer dado capturado da internet ou de fontes terceiras precisa ser tratado como potencialmente hostil e não confiável. Sem isolamento rigoroso (sandboxing) e validação estrita de permissões de ferramentas, as interfaces conversacionais que prometiam conveniência correm o risco de se tornar as portas dos fundos mais vulneráveis da infraestrutura corporativa.