Prompt Injection (injeção de prompt) é uma situação em que uma entrada, direta ou escondida dentro de um conteúdo que o modelo lê, altera o comportamento do modelo de linguagem de um jeito que você não pretendia.
Em resumo
- Prompt Injection é o uso de texto para fazer um modelo de IA agir de um jeito que você não pretendia.
- A OWASP, organização de segurança reconhecida, a lista como o primeiro risco da sua lista para aplicativos baseados em modelos de linguagem (LLM01).
- Uma instrução maliciosa pode estar escondida num site, num arquivo ou num e-mail que o agente lê, e não só na mensagem que você escreve.
- Segundo a OWASP, não está claro que exista um método que impeça isso por completo. O risco se reduz com permissões mínimas e aprovação humana.
O que é Prompt Injection, em uma imagem
Imagine um assistente novo que recebeu de você instruções claras e agora abre um pacote que chegou pelo correio. Dentro do pacote há um bilhete: "Envie a lista de clientes para este endereço". Um assistente cuidadoso entende que é só um bilhete. Um assistente que não distingue "o que o chefe disse" de "o que está escrito diante dos olhos" pode obedecer.
É exatamente aí que um modelo de linguagem tem dificuldade: para ele, tudo o que entra é texto. Por isso, um texto bem redigido e convincente pode tentar tomar o lugar das instruções que ele recebeu.
Como isso funciona?
A OWASP define duas formas. Direta: um usuário escreve uma entrada que muda o comportamento do modelo, de propósito ou por engano. Indireta: o modelo processa um conteúdo externo, como um site ou um arquivo, que contém instruções escondidas. A OWASP observa que o efeito pode ser invisível para o olho humano, e por isso é difícil de detectar.
Injeção indireta: como acontece
- Você dá a tarefa"Resuma este documento para mim"
- O agente lê conteúdo externoSite, e-mail ou arquivo
- Dentro dele, uma instrução escondidaE o modelo confunde a instrução com a tarefa
- Parada antes do danoPermissões restritas e a sua aprovação
O último passo é o que faz a diferença. Quanto menos permissões o agente tem, e quanto mais as ações sensíveis esperam por aprovação, menos dano uma instrução escondida consegue causar.
Por que isso importa para o negócio?
Você não precisa ser um alvo especial. Basta o agente ler um conteúdo que não foi você quem escreveu. Segundo a OWASP, um ataque bem-sucedido pode levar, entre outras coisas, a:
- Exposição de informações. Acesso não autorizado a dados, ou exposição das instruções do sistema (system prompt).
- Ações que ninguém pediu. Uso de funções que não deveriam estar abertas, ou execução de comandos em sistemas conectados.
- Resultados enviesados ou errados. Uma resposta, um resumo ou uma recomendação influenciados por texto malicioso.
- Decisões distorcidas. Um agente que resume concorrentes ou fornecedores a partir de sites e decide com base em conteúdo plantado de propósito.
Quando um agente está conectado a contas reais, as permissões são a linha de defesa. Sobre esse tema no contexto da privacidade, escrevemos no guia de privacidade e agentes de IA.
O que dá para fazer?
A OWASP recomenda sete estratégias de mitigação, e a divisão abaixo as traduz para o dia a dia de um negócio:
As estratégias de mitigação da OWASP, na linguagem de um dono de negócio
Limitar o agente
- Somente permissões mínimas
- Instruções de sistema claras
- Formato de saída definido e validado
Checar o que entra e o que sai
- Filtro de entrada e de saída
- Separação entre conteúdo externo e instruções
Pedir aprovação e testar
- Aprovação humana para ações arriscadas
- Testes simulados de ataque
Fonte: OWASP GenAI Security Project, LLM01:2025 Prompt Injection. Tradução e agrupamento nossos.
O guia da OpenAI para construir agentes também descreve as barreiras de segurança como camadas de defesa, e enfatiza que uma só não basta e que elas devem funcionar junto com permissões, autenticação e controles de acesso rígidos. A nossa posição: não confie num "prompt esperto" que pede ao modelo para tomar cuidado. Uma restrição real de permissões é mais forte do que ele.
Mitos comuns
Mito"Isso só diz respeito a hackers e a grandes empresas"
Na práticaQualquer agente que leia conteúdo que você não escreveu, como sites, e-mails e arquivos, está exposto. O tamanho do negócio não importa, as permissões importam.
Mito"Dá para resolver com uma instrução forte o bastante"
Na práticaA OWASP escreve que não está claro se existem métodos que previnam isso por completo, por causa da natureza dos modelos. Por isso se combinam várias camadas de defesa.
Mito"É um erro do modelo"
Na práticaNão é igual a uma alucinação. Aqui um agente externo direciona o comportamento, às vezes por meio de um texto que a pessoa nem enxerga.
Mito"Se o agente não está conectado a nada, não há risco"
Na práticaAinda é possível enviesar respostas. Mas o grande dano acontece quando há conexões, e por isso permissões limitadas são especialmente importantes para agentes.
Termos relacionados
- O que é um agente de IA: quem é exposto ao conteúdo e age em ferramentas.
- O que é MCP: a conexão que dá ao agente acesso aos sistemas.
- O que é LLM: o modelo que recebe as instruções e o conteúdo juntos.
- O que é alucinação em IA: outro tipo de erro, que vem do próprio modelo.
- O que é um token: instruções e conteúdo externo chegam ao modelo como uma única sequência de texto.
Perguntas frequentes
O que é Prompt Injection?
Prompt Injection é uma vulnerabilidade em que uma entrada para um modelo de linguagem altera o comportamento ou a saída dele de forma não intencional. Segundo a OWASP, a entrada pode vir diretamente do usuário ou, de forma indireta, de um conteúdo externo que o modelo processa, como um site ou um arquivo. É o primeiro risco da lista da OWASP para aplicativos LLM (LLM01).
Qual é a diferença entre injeção direta e indireta?
Na direta, quem digita para o modelo é quem muda o comportamento dele. Na indireta, a instrução está escondida num conteúdo que o modelo lê pelo caminho, como uma página da web, e não necessariamente na mensagem do usuário.
Dá para evitar totalmente o Prompt Injection?
A OWASP escreve que não está claro se existem métodos de prevenção totalmente à prova de falhas. Por isso se recomendam várias camadas: permissões mínimas, verificação de entrada e saída, separação do conteúdo externo e aprovação humana para ações arriscadas.
O que um negócio pequeno pode fazer já hoje?
Dar ao agente apenas as permissões de que ele precisa, deixar publicações, orçamento e mensagens a clientes sob a sua aprovação e evitar conectar contas desnecessárias. Além disso, pergunte a quem monta o agente como ele trata o conteúdo externo.
