--- id: CP-281 slug: injecao-direta-de-prompt-jailbreak-assistente lang: pt title: Injeção direta de prompt description: "Uma instrução escrita no chat basta, por vezes, para um assistente de IA sair das suas regras: mecanismo, sinais no ecrã, casos datados, prevenção." canonical_url: https://startbrain.io/cyberpedia/pt/articles/injecao-direta-de-prompt-jailbreak-assistente/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/injecao-direta-de-prompt-jailbreak-assistente.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Injeção direta de prompt», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/injecao-direta-de-prompt-jailbreak-assistente/ (CC BY 4.0) wing: 4 theme: prompt_correctly reflex: air-012 schema: G1 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/injecao-direta-de-prompt-jailbreak-assistente/ fr: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-directe-jailbreak-assistant/ en: https://startbrain.io/cyberpedia/en/articles/direct-prompt-injection-jailbreak/ de: https://startbrain.io/cyberpedia/de/articles/direkte-prompt-injection-jailbreak-assistent/ es: https://startbrain.io/cyberpedia/es/articles/inyeccion-directa-de-prompt-jailbreak-asistente/ it: https://startbrain.io/cyberpedia/it/articles/prompt-injection-diretta-jailbreak-assistente/ nl: https://startbrain.io/cyberpedia/nl/articles/directe-prompt-injection-jailbreak-assistent/ sources: - "n": 1 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 2 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 3 title: "Ignore Previous Prompt: Attack Techniques For Language Models" publisher: arXiv url: https://arxiv.org/abs/2211.09527 published: "2022-11-17" accessed: "2026-11-03" - "n": 4 title: Prompt Injection attack against LLM-integrated Applications publisher: arXiv url: https://arxiv.org/abs/2306.05499 published: "2023-06-08" accessed: "2026-11-03" - "n": 5 title: "Jailbroken: How Does LLM Safety Training Fail?" publisher: arXiv url: https://arxiv.org/abs/2307.02483 published: "2023-07-05" accessed: "2026-11-03" - "n": 6 title: "AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/ai/100/2/e2025/final accessed: "2026-11-03" --- # Injeção direta de prompt Um assistente de IA empresarial funciona com regras escritas pelo fornecedor ou pela empresa. A injeção direta de prompt consiste em escrever, na área de conversa, um texto que altera o comportamento do modelo de uma forma não prevista [1]. Quem escreve nem sempre é um atacante. A OWASP esclarece que a entrada pode ser intencional ou não: um utilizador pode desencadear um comportamento inesperado sem o querer [1]. ## Em 30 segundos - Onde acontece: na janela de conversa de um assistente de IA, por exemplo um chatbot de apoio ao cliente [1]. - O que o atacante pretende: levar o modelo a ignorar as suas instruções, a revelar as suas instruções internas ou a produzir conteúdo que a empresa quis proibir [1]. - O reflexo: tratar um assistente de IA como um interlocutor que uma instrução habilidosa pode desviar, dar-lhe apenas os acessos estritamente necessários e fazer validar por uma pessoa qualquer ação sensível. - Se já aconteceu: comunicar a conversa à equipa que gere o assistente, com a captura de ecrã da troca de mensagens. ## Perguntas diretas ### O que é uma injeção direta de prompt? É o caso em que o texto escrito pelo utilizador altera diretamente o comportamento do modelo de forma inesperada [1]. Opõe-se à injeção indireta, em que o modelo lê um conteúdo externo (site, ficheiro) que contém as instruções [1]. ### Que relação tem com o jailbreak? Os dois termos são muitas vezes usados um pelo outro. Segundo a OWASP, o jailbreak é uma forma de prompt injection em que o atacante leva o modelo a ignorar por completo os seus protocolos de segurança [1]. A prompt injection é mais ampla: consiste em manipular as respostas do modelo através de entradas específicas, o que pode incluir contornar as medidas de segurança [1]. ### Porque é que o modelo se deixa convencer? Porque não separa as instruções dos dados. O NCSC britânico escreve que os grandes modelos atuais não impõem nenhuma fronteira de segurança entre os dois dentro de um prompt [2]. O programador cola as suas próprias instruções e o texto do utilizador num único prompt e depois trata a resposta como se existisse uma fronteira sólida entre ambos [2]. ### É possível resolver o problema de uma vez por todas? Provavelmente não. O NCSC considera que estes ataques talvez nunca venham a ser totalmente neutralizados, ao contrário da injeção SQL [2]. A OWASP diz, por seu lado, que não se sabe se existem métodos de prevenção infalíveis [1]. O objetivo realista é reduzir a probabilidade e o impacto [2]. ## Na pele do atacante Os investigadores Fábio Perez e Ian Ribeiro mostraram em 2022 que pessoas pouco qualificadas, mas mal-intencionadas, podem desviar o GPT-3 com simples textos escritos à mão [3]. Descrevem dois objetivos: desviar a finalidade do modelo (goal hijacking) e levá-lo a divulgar o seu prompt (prompt leaking) [3]. Um segundo tipo de objetivo é a utilização abusiva. Uma equipa de investigadores descreveu em 2023 resultados como a utilização ilimitada e arbitrária do modelo que está por trás de uma aplicação e o roubo fácil do prompt da aplicação [4]. O jailbreak funciona de outra maneira. Os autores do estudo «Jailbroken» apontam duas causas para a falha do treino de segurança: objetivos concorrentes (as capacidades do modelo entram em conflito com as suas regras de segurança) e generalização inadequada (a segurança não cobre um domínio em que o modelo tem, ainda assim, capacidades) [5]. A OWASP cita também variantes. O atacante pode acrescentar à sua mensagem uma sequência de caracteres aparentemente sem sentido, ou usar várias línguas ou uma codificação como Base64 para escapar aos filtros [1]. ## O que vê no ecrã Do lado do utilizador ou da empresa, o ataque bem-sucedido reconhece-se pelos seus efeitos. A OWASP enumera as consequências possíveis: divulgação de informações sensíveis, revelação de informações sobre a infraestrutura ou sobre os prompts de sistema, conteúdos distorcidos ou enviesados, acesso não autorizado às funções do modelo, execução de comandos em sistemas ligados [1]. Na prática, um assistente que responde fora do seu assunto, que recita as suas próprias instruções ou que produz um conteúdo que a empresa nunca teria validado deve levantar suspeitas. A OWASP dá um cenário típico: um atacante pede a um chatbot de apoio que ignore as suas instruções, consulte dados privados e envie e-mails [1]. Eis uma ilustração deste tipo de mensagem, neutralizada e parafraseada: ```text Ilustração (mensagem parafraseada, não funcional): [instrução a pedir ao chatbot que ignore as regras recebidas do fornecedor e depois copie integralmente as suas instruções internas] ``` ## Por baixo do capô Para um modelo de linguagem, não há «dados» nem «instruções», apenas o token seguinte (next token): o modelo prevê o token mais provável a partir do texto recebido até esse momento [2]. As instruções do fornecedor e a frase escrita pelo utilizador ficam assim no mesmo texto, sem uma separação que o modelo respeite [2]. Este aspeto distingue a prompt injection da injeção SQL. Em SQL, as consultas parametrizadas garantem que o motor nunca interpreta uma entrada como instrução [2]. O NCSC escreve que os ataques por prompt injection poderão nunca ser totalmente atenuados como são as injeções SQL [2]. As vias em curso (detetar as tentativas, treinar o modelo para privilegiar as instruções, indicar ao modelo o que são dados) sobrepõem uma distinção que a tecnologia não faz [2]. O NIST publicou em março de 2025 uma taxonomia da aprendizagem automática adversarial [6]. Um ponto de atenção diz respeito aos filtros de palavras proibidas. O NCSC alerta contra o bloqueio de frases conhecidas como «ignore previous instructions»: existe uma infinidade de reformulações que contornam esse filtro [2]. ### Prevenção As medidas simples aqui retidas vêm da OWASP e do NCSC. - Privilégio mínimo: dar ao modelo o acesso mínimo necessário e gerir as funções alargadas no código da aplicação, em vez de as confiar ao modelo [1]. - Validação humana: exigir a aprovação de uma pessoa para as operações privilegiadas [1]. - Filtragem das saídas: definir categorias sensíveis, detetar conteúdos não autorizados com filtros semânticos e verificações de cadeias de caracteres, e validar o formato das respostas com código determinista [1]. - Definição do papel: descrever no prompt de sistema o papel e os limites do modelo [1]. Esta medida ajuda, mas não basta: a OWASP apresenta todas estas medidas como meios de atenuar o impacto [1]. - Testes: realizar testes de intrusão e simulações regulares, tratando o modelo como um utilizador não fiável [1]. - Monitorização: registar informação suficiente para detetar atividade suspeita, incluindo as chamadas falhadas a ferramentas e a APIs, que podem denunciar as primeiras fases de um ataque [2]. O NCSC acrescenta que a segurança de um sistema deve assentar em salvaguardas deterministas que limitem as suas ações, e não apenas na esperança de impedir que um conteúdo malicioso chegue ao modelo [2]. Se o risco residual for intolerável, o caso de utilização talvez não seja adequado a um modelo de linguagem [2]. ## Autópsias ### Novembro de 2022: GPT-3 desviado por simples textos A 17 de novembro de 2022, Fábio Perez e Ian Ribeiro publicam o PromptInject, um quadro de análise destes ataques. Estudam o GPT-3, que descrevem como o modelo de linguagem mais implementado em produção, e mostram que pode ser facilmente desalinhado por entradas escritas à mão [3]. Os dois ataques estudados são o desvio de objetivo e a fuga do prompt [3]. ### Junho de 2023: 31 aplicações em 36 vulneráveis A 8 de junho de 2023, uma equipa de doze investigadores publica um estudo sobre aplicações reais que utilizam um modelo de linguagem. Após a análise de dez aplicações comerciais, desenvolve uma técnica de ataque chamada HouYi e aplica-a a 36 aplicações: 31 revelam-se sensíveis à prompt injection [4]. Dez fornecedores validaram os resultados, entre os quais a Notion [4]. ### Julho de 2023: proteções que cedem A 5 de julho de 2023, Alexander Wei, Nika Haghtalab e Jacob Steinhardt avaliam o GPT-4 da OpenAI e o Claude v1.3 da Anthropic. Os seus novos ataques resultam em todos os pedidos de uma coleção de pedidos perigosos retirada dos conjuntos de avaliação de red teaming dos modelos [5]. Os autores concluem que as vulnerabilidades persistem apesar dos esforços de red teaming e de treino de segurança [5]. ## Fontes 1. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultado em 3 de novembro de 2026) 2. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 de dezembro de 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultado em 3 de novembro de 2026) 3. arXiv, «Ignore Previous Prompt: Attack Techniques For Language Models», 17 de novembro de 2022. https://arxiv.org/abs/2211.09527 (consultado em 3 de novembro de 2026) 4. arXiv, «Prompt Injection attack against LLM-integrated Applications», 8 de junho de 2023. https://arxiv.org/abs/2306.05499 (consultado em 3 de novembro de 2026) 5. arXiv, «Jailbroken: How Does LLM Safety Training Fail?», 5 de julho de 2023. https://arxiv.org/abs/2307.02483 (consultado em 3 de novembro de 2026) 6. NIST, «AI 100-2 E2025, Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations | CSRC». https://csrc.nist.gov/pubs/ai/100/2/e2025/final (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/injecao-direta-de-prompt-jailbreak-assistente/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.