Uma análise realizada pelas equipes de inteligência de ameaças do Google concluiu que a injeção indireta de comandos começou a aparecer no conteúdo público da web como uma atividade experimental por parte de atacantes e proprietários de sites, mas a maioria dos casos detectados até agora apresentou sofisticação limitada e não demonstrou dependência ampla de técnicas avançadas. Ainda assim, o Google registrou um aumento de 32% nas detecções da categoria maliciosa entre novembro de 2025 e fevereiro de 2026, uma tendência que considera um indicador do interesse crescente por esse tipo de ataque.
O Google publicou essa análise em seu blog de segurança, e Thomas Brunner, Yu-Han Liu e Moni Pande participaram de sua elaboração. A pesquisa se concentra em uma questão prática: os atacantes do mundo real estão explorando atualmente a injeção indireta de comandos e quais resultados procuram alcançar?
Como funciona a injeção indireta de comandos?
Esse método difere da injeção direta, na qual o usuário tenta contornar as restrições do chatbot por meio do que é conhecido como quebra de barreiras ou jailbreak. Na injeção indireta, o sistema de inteligência artificial processa conteúdo externo, como uma página da web, uma mensagem de e-mail ou um documento, que contém instruções maliciosas. Se o sistema tratar essas instruções como comandos, poderá executá-las silenciosamente em vez de seguir o objetivo original do usuário.
O Google considera essa ameaça um foco de colaboração entre pesquisadores do Google DeepMind e defensores do Google Threat Intelligence Group. O risco ganha importância especial com a expansão do uso de agentes de inteligência artificial capazes de navegar por sites, processar documentos e executar ações em nome do usuário.
Pesquisa no Common Crawl e o problema dos falsos positivos
O Google escolheu a web pública como um canal relativamente fácil de monitorar, pois os atacantes podem inserir textos de instrução em sites que esperam que os sistemas de inteligência artificial leiam. Para fins de acesso e reprodutibilidade, a empresa utilizou o Common Crawl, um grande repositório de páginas da web coletadas da web em língua inglesa. O repositório fornece instantâneos mensais que incluem aproximadamente 2 a 3 bilhões de páginas.
Esses dados são compostos em sua maioria por sites estáticos, incluindo blogs, fóruns, comentários e conteúdo publicado pelos próprios usuários. No entanto, não abrangem a maioria das plataformas de redes sociais, como LinkedIn, Facebook e X, porque o Common Crawl ignora sites que exigem login ou utilizam instruções para impedir o rastreamento. Por isso, o Google afirmou que o estudo da atividade de injeção de comandos nas redes sociais será objeto de uma pesquisa separada.
A pesquisa enfrentou um problema significativo relacionado aos falsos positivos. Os experimentos iniciais encontraram grandes quantidades de textos de injeção de comandos inofensivos, especialmente em artigos acadêmicos, materiais educacionais e artigos de cibersegurança que discutem esses ataques. Para reduzir a ambiguidade, o Google adotou um processo de filtragem gradual:
- Correspondência de padrões: primeiro, a busca por páginas que contêm indicadores comuns, como frases do tipo «ignore as instruções» ou «se você for um sistema de inteligência artificial».
- Classificação usando um modelo de linguagem grande: processamento dos resultados candidatos pelo Gemini para determinar a intenção do texto e verificar se ele é coerente com o tema do documento ou se parece intrusivo e suspeito.
- Verificação humana: revisão manual final dos resultados classificados para aumentar o nível de confiança nas conclusões.
O Google explicou que essa metodologia não é abrangente e pode deixar passar padrões incomuns, mas oferece um ponto de partida para compreender a natureza da injeção de comandos que realmente existe na web.
Quais objetivos o Google identificou?
Os casos encontrados pela análise variaram entre experimentos inofensivos e tentativas com objetivos maliciosos. Alguns proprietários de sites utilizaram instruções ocultas para mudar o tom do assistente que lê o site, enquanto outros tentaram orientar os resumos de inteligência artificial a adicionar um contexto que consideravam útil para os leitores. O Google considera esses casos inofensivos desde que não impeçam o resumo nem procurem enganar o usuário, mas eles podem se tornar maliciosos se incluírem informações falsas ou levarem o usuário a sites externos.
A análise também identificou o uso de injeção de comandos para melhorar a visibilidade nos mecanismos de busca, com alguns sites tentando levar os assistentes a promover seus negócios em detrimento de outros sites. Além dos exemplos simples, surgiram tentativas mais complexas que, segundo o Google, pareciam ter sido criadas por ferramentas automatizadas de otimização para mecanismos de busca e depois inseridas nos textos dos sites.
Em outros casos, as instruções foram usadas para impedir que agentes de inteligência artificial recuperassem o conteúdo do site. Os exemplos não se limitaram a uma frase direta como «se você for uma inteligência artificial, não rastreie este site», mas incluíram uma tentativa de atrair o leitor automatizado para uma página que transmite uma quantidade infinita de textos e nunca termina de carregar, o que poderia desperdiçar recursos ou causar erros de tempo limite durante o processamento.
Já os casos maliciosos incluíram um pequeno número de tentativas de roubo de dados. No entanto, o Google afirmou que seu nível de sofisticação era baixo e não identificou grandes quantidades de ataques avançados, incluindo alguns prompts conhecidos de extração de dados publicados por pesquisadores de segurança em 2025. A empresa também encontrou sites que tentavam sabotar o dispositivo de um usuário do assistente, pois alguns comandos, se executados, buscavam excluir todos os arquivos presentes no dispositivo. O Google considerou improvável que esses exemplos fossem bem-sucedidos devido à sua simplicidade.
Tendência de alta apesar da sofisticação limitada
Os resultados do Google indicam que a atividade observada não prova que os ataques de injeção indireta de comandos tenham se tornado uma prática produtiva em larga escala, pois muitos casos pareciam ser provenientes de indivíduos realizando experimentos ou pregando peças. Porém, o aumento de 32% na categoria maliciosa entre novembro de 2025 e fevereiro de 2026, após a repetição da pesquisa em várias versões do arquivo, indica um interesse crescente.
O Google relaciona a possibilidade de escalada da ameaça à mudança na relação entre custo e benefício. Antes, esses ataques eram difíceis de executar, e os sistemas comprometidos também não executavam as ações maliciosas de forma confiável. Hoje, os sistemas de inteligência artificial se tornaram mais capazes, o que aumenta seu valor como alvos, enquanto os atacantes começaram a usar inteligência artificial agêntica para automatizar suas operações e reduzir o custo do ataque. Com base nisso, o Google prevê um aumento no volume e na complexidade das tentativas de injeção de comandos no futuro próximo.
Por outro lado, o Google afirmou que continua aprimorando seus modelos e produtos de inteligência artificial e utiliza equipes de testes ofensivos para avaliar a capacidade do Gemini de resistir à manipulação adversarial. O programa de recompensas por descoberta de vulnerabilidades de inteligência artificial também permite que pesquisadores externos participem desses esforços. A empresa confirmou que continuará compartilhando informações com a comunidade de segurança, reconhecendo que a pesquisa atual não abrange as plataformas sociais nem representa um retrato completo de todas as atividades de ameaça.