Prompt injection: quando um texto passa a dar as ordens
Prompt injection é o risco número 1 do OWASP Top 10 para LLM. Num modelo de linguagem, instrução e dado chegam pelo mesmo canal, e um texto bem colocado pode mudar o que o seu assistente faz. Veja como o risco funciona, o que ele causa e o que de fato reduz o impacto.
Direta e indireta
Injeção direta
O próprio usuário escreve instruções na conversa para fazer o assistente ignorar as regras: revelar o prompt de sistema, sair do assunto permitido, prometer um desconto que não existe.
Injeção indireta
A instrução vem escondida no conteúdo que o modelo lê: uma página web, um PDF enviado, um e-mail, um item da base de conhecimento. Quem conversa com o bot pode nem saber que ela está lá. É a forma mais perigosa em agentes e RAG.
O que uma injeção bem-sucedida causa
- Vazamento de dados que o assistente consegue ler: histórico, documentos internos, dados de outros clientes.
- Ações indevidas quando o modelo chama ferramentas: enviar e-mail, alterar pedido, aprovar reembolso.
- Resposta do modelo virando ataque em outro sistema, quando a saída é exibida ou executada sem tratamento.
- Dano de reputação e de contrato: o bot prometendo condição comercial ou falando em nome da empresa.
Repare que o dano depende do que o modelo alcança. Por isso a pergunta útil não é “meu bot pode ser enganado?”, e sim “o que ele consegue fazer quando for?”.
Os controles que reduzem o risco
Menor privilégio para o modelo
O assistente só alcança os dados e ferramentas de quem está conversando, com a permissão desse usuário, verificada no servidor e não pelo modelo.
Confirmação humana para o que tem impacto
Pagamento, exclusão, envio externo e alteração de cadastro pedem confirmação explícita do usuário ou de um operador.
Conteúdo externo tratado como não confiável
Documento, página e e-mail lidos pelo modelo são dado, nunca instrução. Separe as fontes, marque a origem e limite o que conteúdo externo pode disparar.
Saída validada antes de ser usada
A resposta do modelo passa pelo mesmo tratamento que qualquer entrada de usuário antes de virar HTML, consulta ou comando.
Registro e monitoramento
Log de conversas e chamadas de ferramenta, com alerta para padrões anômalos, para detectar e investigar.
Teste adversarial recorrente
A cada mudança de modelo, prompt ou ferramenta, o comportamento muda. O teste precisa acompanhar.
Referência: OWASP LLM01:2025 Prompt Injection. Veja também os outros nove riscos no guia do OWASP Top 10 para LLM.
Perguntas frequentes
Dúvidas comuns sobre prompt injection.
Quer saber o que o seu assistente faz quando é enganado?
O pentest de IA testa injeção direta e indireta contra as regras e ferramentas reais do seu produto. Diagnóstico gratuito de 20 minutos.