Injeção de prompt é uma vulnerabilidade de segurança em sistemas de IA na qual instruções ocultas dentro de conteúdo processado por um modelo, como uma página da web, documento, e-mail ou resultado de busca, são interpretadas e seguidas pelo modelo como se fossem comandos legítimos, podendo sobrepor a intenção original do desenvolvedor ou do usuário. O termo foi cunhado em 2022 pelo pesquisador Simon Willison para descrever ataques análogos à injeção de SQL em software tradicional: em ambos os casos, entrada não confiável não é devidamente separada de instruções confiáveis, permitindo que um atacante introduza comandos por um canal destinado apenas a dados.
A injeção de prompt tornou-se uma preocupação prática significativamente maior com o avanço dos agentes de IA e do uso de ferramentas, já que um agente que pode navegar na web, ler e-mails ou executar código em nome do usuário pode encontrar conteúdo controlado pelo atacante e agir sobre instruções injetadas com consequências reais, ao contrário de um chatbot simples que apenas produz texto.
Injeção direta versus indireta
Pesquisadores de segurança distinguem a injeção direta de prompt, na qual um usuário digita diretamente instruções adversárias em um prompt e que se sobrepõe significativamente ao jailbreaking, da injeção indireta de prompt, na qual as instruções maliciosas estão embutidas em conteúdo de terceiros que o modelo recupera ou recebe para processar, como uma página da web resumida por um assistente, um currículo enviado a uma ferramenta de contratação ou um ticket de suporte tratado por um agente automatizado. A injeção indireta é geralmente considerada o risco mais grave, pois o atacante não precisa de acesso direto ao sistema de IA, apenas da capacidade de colocar conteúdo em algum lugar que o sistema lerá posteriormente.
Exemplos de ataques
Ataques documentados e demonstrados incluem texto oculto em uma página da web, invisível para o usuário humano, mas legível pelo modelo, instruindo um assistente de navegação a vazar dados privados ou realizar uma ação não intencional; um documento envenenado em um pipeline de geração aumentada por recuperação que faz o modelo produzir informações falsas quando esse documento é recuperado; e instruções maliciosas embutidas em comentários de código encontrados por um assistente de codificação com IA. Pesquisadores demonstraram ataques de prova de conceito contra produtos comerciais de navegação e agentes de IA, levando as empresas a tratar o problema como prioridade.
Mitigações
Como a injeção de prompt explora o fato de que modelos de linguagem processam instruções e dados pelo mesmo canal de texto em linguagem natural, não existe uma correção técnica completa análoga às consultas parametrizadas em SQL. Mitigações propostas e parciais incluem salvaguardas mais rígidas e filtragem de saída, separação de privilégios que limita as ações que um agente pode realizar sem confirmação explícita do usuário, treinamento de modelos para distinguir melhor instruções confiáveis do sistema de conteúdo recuperado não confiável e isolamento do acesso a ferramentas. Em 2025, a injeção de prompt permanecia um problema não resolvido e ativamente pesquisado, além de um tópico padrão em exercícios de red teaming de IA, especialmente para produtos construídos sobre o Model Context Protocol e padrões similares que conectam modelos a ferramentas e dados externos.