A OWASP lista a injeção de prompt como o risco número 1 de aplicações com LLM, o LLM01, e ela segue no topo em 2026. Auditorias de segurança encontram a vulnerabilidade em 73% das implementações de IA em produção. O perímetro de segurança mudou de lugar.
O risco cresce com a autonomia. Quando o agente lê conteúdo externo e aciona ferramentas, uma instrução maliciosa escondida no dado pode virar ação executada, não só resposta gerada.
Este guia é para quem coloca agentes e RAG em produção e precisa tratar segurança de IA como camada de arquitetura, não como detalhe.
O que é injeção de prompt
Injeção de prompt é a inserção de instruções maliciosas que o modelo interpreta como comando legítimo. Existe na forma direta, digitada pelo atacante, e na forma indireta, escondida em conteúdo externo que o modelo busca para responder.
A variante indireta é a mais perigosa em ambiente empresarial. Ela vive dentro de dado que parece legítimo, um documento, um e-mail, uma página, e é explorável em toda operação com RAG e com agentes, sem que o atacante precise de acesso especial ao sistema.
Por que o agente amplifica o risco
Um chatbot que sofre injeção gera uma resposta errada. Um agente que sofre injeção executa uma ação errada, porque tem acesso a ferramentas e decide o próximo passo sozinho.
A OWASP dedica um Top 10 específico para aplicações agênticas. O item de sequestro de objetivo do agente combina a injeção de prompt com a autonomia excessiva: a execução autônoma em vários passos amplia o impacto muito além de uma única resposta, e em escala, sem intervenção humana.
O perímetro antigo não protege
Firewall e perímetro de rede não resolvem, porque o ataque não vem de fora da rede. Ele viaja dentro do dado legítimo que o modelo foi projetado para ler.
O novo perímetro é outro. É a fronteira entre o conteúdo não confiável que o agente consome e a ação que ele tem permissão de executar. Defender essa fronteira é a tarefa de segurança que a arquitetura de IA precisa assumir.
Defesa em profundidade
Não existe bala de prata para injeção de prompt. Existe defesa em camadas, cada uma reduzindo a superfície e o impacto do ataque.
- Permissão mínima: o agente só acessa as ferramentas e os dados que a tarefa exige.
- Filtro de entrada e saída: tratar todo conteúdo externo como não confiável antes de ele entrar na decisão.
- Aprovação humana: ação crítica passa por revisão antes de executar.
- Teste adversarial e observabilidade: avaliação contínua e registro de cada chamada de ferramenta.
É essa arquitetura de segurança que a NN embute nos agentes que coloca em produção: permissão mínima, guardrails, aprovação humana no risco e observabilidade de cada ação.
O que muda na arquitetura
A mudança de mentalidade é simples de enunciar e difícil de aplicar: todo dado externo é não confiável até prova em contrário. O agente lê, mas não obedece cegamente ao que leu.
Na prática, isso separa raciocínio de ação, coloca porta de aprovação nas ações de risco e registra cada passo. Segurança de IA deixa de ser um detalhe adicionado no fim e vira parte do desenho.
O perímetro mudou de lugar. Quem continua defendendo só a rede protege a porta errada enquanto o ataque entra pelo dado que o agente foi ensinado a ler.
Perguntas frequentes
O que é injeção de prompt (prompt injection)?
É a inserção de instruções maliciosas que o modelo interpreta como comando legítimo. Pode ser direta, digitada pelo atacante, ou indireta, escondida em conteúdo externo que o modelo busca. A OWASP classifica a injeção de prompt como o risco número 1 de aplicações com LLM, o LLM01.
Por que agentes de IA são mais vulneráveis?
Porque o agente executa ações, não só gera respostas. Uma instrução maliciosa escondida em dado externo pode virar uma ação real, já que o agente tem acesso a ferramentas e decide sozinho o próximo passo. A execução autônoma em vários passos amplia o impacto do ataque em escala.
Firewall protege contra injeção de prompt?
Não. O ataque não vem de fora da rede, ele viaja dentro do dado legítimo que o modelo foi projetado para ler. O novo perímetro a defender é a fronteira entre o conteúdo não confiável que o agente consome e a ação que ele tem permissão de executar.
Como defender uma operação de IA contra injeção de prompt?
Com defesa em profundidade: permissão mínima de ferramentas, filtro de entrada e saída tratando todo conteúdo externo como não confiável, aprovação humana em ações críticas, teste adversarial contínuo e observabilidade de cada chamada de ferramenta.
Fontes
Watch the Manifesto
Conheça a visão que guia a NN e descubra por que acreditamos que a inteligência artificial está redefinindo a forma como empresas crescem, decidem e executam.
Intelligence Unlocked
Building what ambitious companies will run on next.
Seus agentes de IA estão seguros contra injeção de prompt?
A NN arquiteta agentes com segurança embutida: permissão mínima, guardrails, aprovação humana no risco e observabilidade de cada ação. Segurança de IA como camada de arquitetura, não como remendo.
Falar com a NN
