Uma nova técnica de ataque contra sistemas de inteligência artificial mostra como agentes capazes de navegar na web, executar código e acessar informações de contexto podem transformar recursos úteis em uma nova superfície para vazamento de dados.
Pesquisadores demonstraram um ataque contra o Grok, da xAI, no qual instruções maliciosas são escondidas dentro de conteúdo criptografado presente em uma página da internet.
A técnica recebeu o nome de Cryptographic Context Injection, ou injeção criptográfica de contexto.
Em uma prova de conceito, o ataque conseguiu fazer o assistente transmitir informações como nome do usuário, localização aproximada, tipo de assinatura e conteúdo da conversa atual para um servidor controlado pelo atacante.
O ponto mais preocupante é que o processo poderia começar a partir de uma tarefa aparentemente normal: pedir ao assistente para analisar ou resumir uma página da internet.
O ataque esconde as instruções dos filtros
Ataques de prompt injection normalmente colocam instruções maliciosas dentro de documentos, sites ou outras informações consumidas por uma inteligência artificial.
Um invasor poderia inserir algo equivalente a uma ordem dizendo ao modelo para ignorar sua tarefa original e executar determinada ação.
Sistemas de segurança podem procurar esse tipo de comportamento antes que o conteúdo chegue ao modelo.
A nova técnica tenta justamente evitar essa inspeção.
Em vez de deixar as instruções em texto aberto, o atacante criptografa o comando malicioso.
A página contém o material criptografado e informações necessárias para que o próprio sistema consiga descriptografá-lo posteriormente.
Para os mecanismos que analisam inicialmente a página, portanto, as instruções permanecem ilegíveis.
O próprio ambiente da IA descriptografa o ataque
A etapa seguinte é particularmente interessante.
Quando o Grok processa o conteúdo, é induzido a utilizar seu ambiente de execução para recuperar as instruções escondidas.
Os pesquisadores utilizaram mecanismos criptográficos envolvendo PBKDF2 e AES-256-GCM.
Depois que o conteúdo é descriptografado, as instruções retornam ao modelo como resultado de uma operação realizada pelo próprio ambiente.
Esse detalhe cria uma espécie de problema de confiança: o sistema pode tratar o conteúdo recém-processado de maneira diferente daquele originalmente recebido de uma página não confiável.
Dados da conversa podem acabar dentro de uma URL
Depois de recuperar as instruções escondidas, o ataque tenta convencer o agente a coletar informações disponíveis em seu contexto.
Na demonstração, isso incluía dados da sessão e partes da conversa em andamento.
Essas informações eram então incorporadas aos parâmetros de uma URL.
O assistente era instruído a acessar esse endereço como se estivesse buscando informações adicionais.
Quando a requisição chegava ao servidor controlado pelo invasor, os dados incorporados à URL também chegavam junto.
Na prática, uma ferramenta de navegação legítima se transformava em um canal para exfiltração de informações.
Não seria necessário invadir diretamente os servidores da xAI
Esse ponto é fundamental para compreender o problema.
O ataque descrito não depende de quebrar diretamente a infraestrutura da xAI nem de acessar bancos de dados internos.
Ele explora o comportamento do próprio agente.
O sistema possui acesso a determinado contexto porque precisa dessas informações para funcionar.
Também possui ferramentas externas porque precisa navegar ou executar determinadas tarefas.
O ataque tenta conectar essas duas capacidades:
contexto privado → instrução maliciosa → ferramenta externa → servidor do atacante.
Essa combinação está se tornando um dos principais desafios de segurança dos agentes de inteligência artificial.
Alcance demonstrado foi limitado à sessão atual
Apesar da gravidade potencial, é importante não ampliar o alcance da descoberta além do que foi demonstrado.
Os testes reportados conseguiram acessar informações que já estavam disponíveis no contexto da sessão utilizada pelo modelo.
Não foi demonstrado que o ataque consiga acessar automaticamente todas as conversas anteriores, memórias completas do usuário ou qualquer informação armazenada na conta.
Também não há evidência pública de exploração dessa técnica em ataques reais até o momento.
Trata-se, portanto, de uma pesquisa de segurança e de uma prova de conceito, e não de evidência de uma campanha de roubo de dados em larga escala.
Problema teria sido comunicado meses antes
A vulnerabilidade foi reportada à xAI em 3 de junho de 2026, inclusive por meio de seu programa de recompensas por vulnerabilidades.
Segundo os pesquisadores, houve confirmação do recebimento, mas não foi apresentado um cronograma público para mitigação.
Novas tentativas de contato teriam ocorrido em agosto.
A técnica ainda teria funcionado em testes realizados em 19 de agosto, utilizando o Grok na web.
Até a divulgação da pesquisa, não havia uma correção pública específica, CVE ou orientação oficial detalhada para usuários relacionada ao ataque demonstrado.
Prompt injection está evoluindo
O episódio mostra uma evolução importante nos ataques contra inteligência artificial.
Os primeiros exemplos de prompt injection utilizavam comandos relativamente óbvios escondidos em páginas ou documentos.
Depois surgiram técnicas utilizando caracteres invisíveis, codificações e diferentes formas de ofuscação.
Agora, criptografia forte pode criar uma camada adicional.
Em vez de tentar esconder visualmente uma instrução, o atacante faz com que ela simplesmente não exista em texto legível até que o próprio ambiente de execução da IA a revele.
Isso dificulta a atuação de filtros que analisam apenas o conteúdo original.
Agentes tornam o problema mais perigoso
Um chatbot tradicional possui capacidade limitada para causar danos externos.
Ele recebe uma pergunta e produz texto.
Agentes modernos funcionam de maneira diferente.
Eles podem navegar na internet, executar código, consultar serviços externos, trabalhar com arquivos e interagir com outras ferramentas.
Cada nova capacidade aumenta a utilidade do sistema.
Mas também aumenta aquilo que pode acontecer caso uma instrução maliciosa seja interpretada como legítima.
O problema deixa de ser apenas:
“a IA respondeu algo que não deveria.”
Passa a ser:
“a IA executou uma ação que não deveria.”
Essa diferença é fundamental para a segurança dos agentes.
Navegação externa precisa de novas barreiras
Uma das principais lições desse tipo de ataque está na necessidade de controlar o fluxo de informações entre diferentes componentes.
Conteúdo recebido da internet deveria permanecer identificado como não confiável mesmo depois de passar por transformações, ferramentas ou ambientes de execução.
Da mesma maneira, ações capazes de enviar informações para serviços externos podem precisar de verificações adicionais.
Um agente não deveria conseguir transformar silenciosamente informações privadas em parâmetros de uma requisição externa simplesmente porque uma página pediu que ele fizesse isso.
A segurança precisa acompanhar a origem da informação, e não apenas analisar o texto final.
IA cria um novo tipo de engenharia social
Ataques tradicionais de engenharia social tentam enganar uma pessoa.
Prompt injection tenta enganar uma inteligência artificial.
A diferença é que agentes modernos podem possuir acesso a ferramentas e informações que usuários humanos normalmente precisariam manipular manualmente.
Isso cria uma nova superfície de ataque.
Uma página aparentemente legítima pode conter instruções destinadas não ao visitante, mas ao assistente de IA que está lendo aquela página.
O usuário talvez nunca veja essas instruções.
E, com técnicas criptográficas, nem mesmo os primeiros mecanismos automáticos de inspeção necessariamente conseguem interpretá-las.
O caso do Grok mostra por que proteger agentes de IA exigirá muito mais do que filtros de conteúdo.
À medida que esses sistemas recebem acesso a navegadores, arquivos, e-mails, serviços corporativos e outras ferramentas, controlar exatamente quais dados podem sair, para onde podem ser enviados e quem autorizou a ação pode se tornar uma das principais fronteiras da cibersegurança.
