Um texto invisível para o olho humano no Outlook, mas perfeitamente legível para uma IA, foi suficiente para fazer um resumidor de e-mail alterar o valor de uma fatura de € 8.750 para € 46.200 — sem nenhum aviso ao destinatário. É o que a Forcepoint X-Labs demonstrou em 25 de agosto, em mais um caso do que a indústria de segurança já chama de "injeção de prompt indireta": instruções maliciosas escondidas dentro do conteúdo que a IA processa, não digitadas por quem usa o sistema.
O que mudou
Os pesquisadores da Forcepoint esconderam um payload de instrução dentro do HTML de um e-mail, usando fonte e cor que o tornam invisível na tela do Outlook — mas que chega inteiro ao modelo de linguagem por trás do resumidor. Em dez execuções com o e-mail malicioso, o ataque funcionou nas dez, alterando informações no resumo entregue ao usuário sem qualquer sinal visível de manipulação. O modelo usado no teste foi o Claude Haiku 4.5, da Anthropic, rodando num pipeline que os próprios pesquisadores descrevem como "sem proteção" — ou seja, sem as barreiras de separação entre instrução e dado que já existem como boa prática. Vale o contexto: esse tipo de falha não é exclusividade de um fornecedor. Pesquisas da Immersive Labs e da Cloud Security Alliance já demonstraram variações do mesmo ataque contra o Microsoft Copilot e o Google Gemini quando processam e-mail. O problema é arquitetural — como o sistema separa (ou não separa) instrução de conteúdo externo — e não um defeito isolado de um modelo específico.
Por que isso importa
Resumidores de e-mail por IA existem justamente para poupar tempo de quem não vai ler o e-mail inteiro — o que também significa que ninguém vai conferir o original contra o resumo. Se o resumo pode ser manipulado de forma silenciosa, o valor central da ferramenta (economizar a checagem manual) vira exatamente o ponto cego que permite a fraude passar. A Microsoft, num guia próprio sobre o tema, recomenda defesa em profundidade: separar claramente instrução de dado externo (por exemplo, delimitando conteúdo externo com marcações que o modelo é treinado a tratar só como dado), monitorar interações da IA em busca de padrões suspeitos, e — quando possível — reduzir a autonomia do agente para tarefas que não precisam interpretar conteúdo arbitrário.
O impacto para o Brasil
Empresas brasileiras que já adotaram ou estão avaliando copilotos de e-mail, contrato ou atendimento deveriam tratar esse tipo de achado como critério de compra, não como nota de rodapé técnica: vale perguntar explicitamente ao fornecedor quais defesas contra injeção de prompt indireta existem no produto, e não aceitar apenas garantias genéricas de segurança ou conformidade com a LGPD, que não cobrem esse tipo de ataque. Na prática operacional, qualquer resumo de IA que alimente decisão financeira, contratual ou de cobrança merece um passo de verificação humana até que o fornecedor demonstre — não apenas prometa — proteção contra esse vetor.
Leitura da Entercast
Esse achado complementa, mas não repete, o que vimos aqui com a identidade de agentes do Google Cloud: uma coisa é saber quem é o agente e o que ele pode acessar; outra, bem diferente, é conseguir confiar no que ele diz depois de acessar. A governança de agentes de IA precisa cobrir as duas frentes — e a velocidade de adoção no Brasil não deveria correr na frente do hábito de verificação. Antes de deixar um resumo gerado por IA decidir algo que envolve dinheiro ou contrato, vale manter — pelo menos por enquanto — um humano conferindo a fonte original.