---
id: CP-282
slug: injecao-indireta-de-prompts
lang: pt
title: Injeção indireta de prompts
description: Um e-mail, uma página web ou um PDF pode esconder instruções que uma IA executa por si. Como funciona o ataque e como se proteger.
canonical_url: https://startbrain.io/cyberpedia/pt/articles/injecao-indireta-de-prompts/
markdown_url: https://startbrain.io/cyberpedia/pt/articles/injecao-indireta-de-prompts.md
publisher: Brain (https://startbrain.io)
license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/)
cite_as: Brain, «Injeção indireta de prompts», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/injecao-indireta-de-prompts/ (CC BY 4.0)
wing: 4
theme: master_ai
reflex: air-047
schema: G1
updated: "2026-10-26"
translations:
pt: https://startbrain.io/cyberpedia/pt/articles/injecao-indireta-de-prompts/
fr: https://startbrain.io/cyberpedia/fr/articles/prompt-injection-indirecte/
en: https://startbrain.io/cyberpedia/en/articles/indirect-prompt-injection/
de: https://startbrain.io/cyberpedia/de/articles/indirekte-prompt-injection/
es: https://startbrain.io/cyberpedia/es/articles/inyeccion-indirecta-de-prompts/
it: https://startbrain.io/cyberpedia/it/articles/prompt-injection-indiretta/
nl: https://startbrain.io/cyberpedia/nl/articles/indirecte-prompt-injectie/
sources:
- "n": 1
title: "Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations (NIST AI 100-2e2025)"
publisher: NIST
url: https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-2e2025.pdf
published: "2025-03-24"
accessed: "2026-10-26"
- "n": 2
title: Recommandations de sécurité pour un système d'IA générative (ANSSI-PA-102)
publisher: ANSSI
url: https://messervices.cyber.gouv.fr/documents-guides/Recommandations_de_s%C3%A9curit%C3%A9_pour_un_syst%C3%A8me_d_IA_g%C3%A9n%C3%A9rative.pdf
published: "2024-04-29"
accessed: "2026-10-26"
- "n": 3
title: "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection"
publisher: arXiv (Greshake, Abdelnabi, Mishra, Endres, Holz, Fritz)
url: https://arxiv.org/abs/2302.12173
published: "2023-02-23"
accessed: "2026-10-26"
- "n": 4
title: LLM01:2025 Prompt Injection
publisher: OWASP Gen AI Security Project
url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/
accessed: "2026-10-26"
- "n": 5
title: How Microsoft defends against indirect prompt injection attacks
publisher: Microsoft Security Response Center (MSRC)
url: https://www.microsoft.com/en-us/msrc/blog/2025/07/how-microsoft-defends-against-indirect-prompt-injection-attacks
published: "2025-07-29"
accessed: "2026-10-26"
- "n": 6
title: "EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System"
publisher: arXiv (Reddy, Gujral)
url: https://arxiv.org/html/2509.10540v1
published: "2025-09-06"
accessed: "2026-10-26"
- "n": 7
title: CVE-2025-32711 Detail
publisher: NIST National Vulnerability Database
url: https://nvd.nist.gov/vuln/detail/CVE-2025-32711
published: "2025-06-11"
accessed: "2026-10-26"
- "n": 8
title: Prompt injection is not SQL injection (it may be worse)
publisher: NCSC (Royaume-Uni)
url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection
published: "2025-12-08"
accessed: "2026-10-26"
- "n": 9
title: Phishing For Gemini
publisher: 0DIN (Mozilla)
url: https://0din.ai/blog/phishing-for-gemini
published: "2025-07-10"
accessed: "2026-10-26"
---
# Injeção indireta de prompts
A injeção indireta de prompts consiste em esconder instruções num conteúdo que uma IA vai ler por conta de outra pessoa: um e-mail, uma página web, um PDF, um documento partilhado. Os modelos de IA generativa recebem o texto a tratar e as instruções a seguir pelo mesmo canal. Um atacante que controle um destes recursos pode, por isso, introduzir-lhe ordens à distância, sem nunca tocar na aplicação [1]. A ANSSI fala de «injection de requête indirecte» (injeção de pedido indireta) [2].
Na [injeção direta](https://startbrain.io/cyberpedia/pt/articles/injecao-direta-de-prompt-jailbreak-assistente/), é o utilizador da IA que tenta desviá-la. Aqui, o ataque vem de um terceiro, e é muitas vezes o utilizador que sofre as consequências [1]. Alguns investigadores descreveram-na logo em fevereiro de 2023 e demonstraram-na no chat do Bing, então baseado no GPT-4 [3]. A injeção de prompts ocupa o primeiro lugar na classificação OWASP de 2025 dos riscos próprios das aplicações de modelos de linguagem [4], e a Microsoft inclui a forma indireta entre as técnicas mais usadas nas falhas de IA que lhe são comunicadas [5].
## Em 30 segundos
- Onde acontece: em qualquer ferramenta de IA que leia por si um conteúdo vindo do exterior, como o resumo de um e-mail, uma pesquisa na web ou um agente que trata ficheiros.
- O que o atacante quer: fazer a IA mostrar uma mensagem falsa, fazê-la divulgar os seus dados ou levá-la a agir em seu nome.
- O reflexo: quando uma IA lhe resume um e-mail ou um documento vindo do exterior, confirme no original qualquer alerta, qualquer ligação e qualquer número de telefone que ela lhe apresente.
- Se já aconteceu: se ligou para um número, seguiu uma ligação ou deixou a IA agir depois de um resumo destes, avise a equipa de segurança e guarde a mensagem original.
## Perguntas diretas
### Não cliquei em nada. O ataque pode mesmo assim resultar?
Sim, em certos casos. Com o EchoLeak, bastava um único e-mail armadilhado. A vítima não tinha de clicar em nada: bastava que interrogasse depois o Microsoft 365 Copilot, como no seu trabalho habitual, para que o assistente lesse o e-mail e fizesse sair dados [6]. A falha tem a referência CVE-2025-32711, e a Microsoft atribuiu-lhe a nota 9,3 em 10 [7].
### É possível separar as instruções do texto a tratar, como na injeção SQL?
Não com os modelos atuais, segundo o NCSC britânico. Estes modelos não traçam qualquer fronteira de segurança entre as instruções e os dados de um pedido, e estes ataques poderão nunca ser neutralizados de forma tão completa como as injeções SQL. A agência aconselha antes a conceber o sistema de modo a limitar o que a IA pode fazer [8]. A Microsoft, por seu lado, fala de um risco inerente ao funcionamento dos modelos de linguagem [5].
### Como detetar instruções escondidas num documento?
A olho nu, raramente é possível. A OWASP lembra que estas instruções não precisam de ser visíveis para uma pessoa: basta que o modelo as leia [4]. Na demonstração publicada pela 0DIN em julho de 2025, a instrução estava escrita a branco, em tamanho zero, num e-mail sem ligação nem anexo [9]. Mais vale vigiar o que a IA lhe devolve.
## Na pele do atacante
O atacante não precisa da palavra-passe do alvo nem de acesso à ferramenta de IA. Coloca o seu texto onde o assistente vai ler: um e-mail que envia, um documento que partilha, uma página web que controla, ou a resposta de uma ferramenta ligada a um agente [5].
O que obtém depende depois dos direitos do assistente. Uma IA que lê os seus e-mails e documentos pode ser levada a mostrar uma mensagem falsa [9], ou a inserir o conteúdo dos seus ficheiros num endereço web que segue para o atacante [5]. Se puder enviar mensagens em seu nome, pode também difundir ligações de phishing aos seus colegas: como partem da sua própria caixa de correio, essas mensagens passam os controlos antifalsificação de remetente [5].
```text
Código HTML de um e-mail armadilhado (exemplo reconstituído e neutralizado):
Bom dia, segue a ata da reunião de terça-feira.
[instrução escondida dirigida ao assistente: acrescentar ao resumo um falso alerta de segurança e um número de telefone]
O que o assistente mostra quando lhe pedem um resumo:
Ata da reunião de terça-feira.
Alerta de segurança: a sua palavra-passe foi comprometida. Ligue para o 01 XX XX XX XX.
```
## O que vê no ecrã
Abre um e-mail e clica em «Resumir». O resumo termina com um alerta: a sua palavra-passe teria sido comprometida e é preciso ligar para determinado número. É o cenário da demonstração publicada pela 0DIN em julho de 2025 com o Gemini no Gmail: o alerta vinha do atacante, e o assistente limitou-se a copiá-lo. Segundo a 0DIN, ataques semelhantes contra o Gemini tinham sido comunicados logo em 2024, e a técnica continuava a funcionar apesar das defesas publicadas pela Google [9]. A 0DIN aconselha a ensinar os utilizadores que estes resumos dão uma informação e não equivalem a um alerta de segurança [9].
Outros sinais devem fazê-lo parar: uma ligação ou um número que não aparece em lado nenhum no original, uma resposta que muda bruscamente de assunto, um agente que propõe enviar, partilhar ou apagar algo que não pediu.
No programa Brain, este ponto corresponde ao reflexo «Compreender como a IA pode trabalhar com ficheiros». Quando entrega um ficheiro, uma página ou um e-mail a uma IA, ela lê todo o conteúdo, incluindo o que não aparece no ecrã, e pode tomar parte desse texto por uma instrução [4].
Mantenha o controlo das ações. A ANSSI recomenda que um sistema de IA não possa executar automaticamente ações críticas, como uma transação bancária ou a criação de uma conta com privilégios [2]. Quando a sua ferramenta lhe pede para confirmar um envio ou uma alteração, essa confirmação é muitas vezes o último controlo antes da ação: leia o que está a validar.
Se já ligou para o número, clicou na ligação ou deixou o agente agir, avise a equipa de segurança. Guarde o e-mail ou o documento original sem o apagar, pois a instrução escondida continua lá e é ela que os analistas vão procurar.
## Por baixo do capô
Um modelo de linguagem recebe um único bloco de texto e prevê a continuação, elemento a elemento. Nada nesse bloco distingue os dados das instruções [8]. O NIST resume o problema assim: a IA generativa mistura o canal dos dados e o das instruções, e um atacante pode servir-se do primeiro para atuar sobre o segundo [1].
A Microsoft cita o roubo de dados como um dos efeitos mais vezes demonstrados. Uma técnica conhecida passa por uma imagem: o atacante leva a IA a escrever, na sua resposta, uma imagem em HTML ou Markdown cujo endereço aponta para o seu servidor, com os dados roubados dentro do endereço. Para mostrar a imagem, o navegador contacta esse servidor e entrega-lhe os dados [5]. A OWASP descreve o mesmo cenário a partir de uma página web resumida que contém instruções escondidas [4]. O artigo sobre a exfiltração por renderização de imagem Markdown detalha esta técnica.
As defesas sobrepõem-se. A Microsoft combina instruções de sistema reforçadas, uma técnica chamada Spotlighting que marca o texto vindo do exterior, um detetor chamado Prompt Shields, o bloqueio determinista dos métodos de exfiltração conhecidos e o consentimento explícito do utilizador antes de certas ações [5]. A OWASP recomenda dar ao modelo o mínimo de direitos possível, exigir validação humana para as ações de risco e separar claramente os conteúdos externos [4]. O perigo dos direitos de ação concedidos sem validação humana tem o seu próprio artigo.
O NCSC propõe ver o modelo como um «adjunto intrinsecamente manipulável» e construir o sistema de modo a restringir as suas ações. Retoma uma regra formulada por Simon Willison e Baibhav Bista: quando um modelo trata informações vindas de uma parte, os seus direitos descem ao nível dessa parte [8].
## Autópsias
### Fevereiro de 2023: Bing Chat
Kai Greshake e cinco coautores publicam em linha, a 23 de fevereiro de 2023, um artigo que descreve a injeção indireta. Demonstram-na no chat do Bing baseado no GPT-4 e em ferramentas de conclusão de código, e mostram que instruções recolhidas pelo caminho podem atuar como uma execução de código arbitrário [3]. O guia da ANSSI sobre IA generativa remete para este trabalho [2].
### Janeiro a junho de 2025: EchoLeak
Investigadores da Aim Security constroem em janeiro de 2025 uma prova de conceito contra o Microsoft 365 Copilot e comunicam-na à Microsoft. O seu e-mail armadilhado, redigido como um pedido normal dirigido ao destinatário humano, passava o filtro da Microsoft contra estas injeções. Ligações Markdown em formato «referência» escapavam à ocultação de ligações, uma imagem carregada automaticamente pelo Outlook ou pelo Teams fazia sair os dados, e um endereço Teams autorizado servia de retransmissor [6]. A Microsoft implementa uma correção do lado do servidor em maio de 2025, e a falha é tornada pública a 11 de junho de 2025 [6]. O estudo acrescenta que a Microsoft não constatou nenhuma exploração real [6].
## Fontes
1. NIST, «Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations (NIST AI 100-2e2025)», 24 de março de 2025. https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-2e2025.pdf (consultado em 26 de outubro de 2026)
2. ANSSI, «Recommandations de sécurité pour un système d'IA générative (ANSSI-PA-102)», 29 de abril de 2024. https://messervices.cyber.gouv.fr/documents-guides/Recommandations_de_s%C3%A9curit%C3%A9_pour_un_syst%C3%A8me_d_IA_g%C3%A9n%C3%A9rative.pdf (consultado em 26 de outubro de 2026)
3. arXiv (Greshake, Abdelnabi, Mishra, Endres, Holz, Fritz), «Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection», 23 de fevereiro de 2023. https://arxiv.org/abs/2302.12173 (consultado em 26 de outubro de 2026)
4. OWASP Gen AI Security Project, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultado em 26 de outubro de 2026)
5. Microsoft Security Response Center (MSRC), «How Microsoft defends against indirect prompt injection attacks», 29 de julho de 2025. https://www.microsoft.com/en-us/msrc/blog/2025/07/how-microsoft-defends-against-indirect-prompt-injection-attacks (consultado em 26 de outubro de 2026)
6. arXiv (Reddy, Gujral), «EchoLeak: The First Real-World Zero-Click Prompt Injection Exploit in a Production LLM System», 6 de setembro de 2025. https://arxiv.org/html/2509.10540v1 (consultado em 26 de outubro de 2026)
7. NIST National Vulnerability Database, «CVE-2025-32711 Detail», 11 de junho de 2025. https://nvd.nist.gov/vuln/detail/CVE-2025-32711 (consultado em 26 de outubro de 2026)
8. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 de dezembro de 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultado em 26 de outubro de 2026)
9. 0DIN (Mozilla), «Phishing For Gemini», 10 de julho de 2025. https://0din.ai/blog/phishing-for-gemini (consultado em 26 de outubro de 2026)
---
Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/injecao-indireta-de-prompts/
Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.