Ataques 'Hijacking': Como Agentes de IA Podem Ser Armas Contra Si Mesmos

A vulnerabilidade conhecida como sequestro de objetivo (Agent Goal Hijack), classificada como ASI01 no recém-publicado OWASP Top 10 para Aplicações Agênticas 2026, representa um risco de segurança crítico para agentes de IA. Ela ocorre quando um agente de IA, ao processar conteúdo externo que ele mesmo buscou (como uma página web ou um e-mail), interpreta dados comuns como instruções, redirecionando suas próprias ações para fins maliciosos. Este problema é mais complexo que um simples prompt injection, que altera uma única resposta do modelo, pois o sequestro de objetivo manipula todo o planejamento e o comportamento multifacetado do agente.

A chave para o ataque reside na incapacidade do modelo subjacente em diferenciar confiavelmente conteúdo de instruções. Para o agente, um texto recuperado da web e um comando direto do usuário têm o mesmo peso. Isso permite que um atacante, ao posicionar conteúdo malicioso em um local acessível ao agente, o faça executar ações como exfiltração de dados, desativação de funcionalidades de segurança ou até transferências financeiras, sem precisar de acesso direto ao sistema.

A cobertura anterior do CEVIU já alertava sobre os perigos da prompt injection e a crescente autonomia dos agentes de IA, como visto em artigos de março e agosto de 2026. O que muda agora é a formalização e a categorização do "sequestro de objetivo" como uma vulnerabilidade distinta e de alta prioridade. A OWASP, ao listar o Agent Goal Hijack como ASI01, reconhece que este não é apenas um tipo de prompt injection, mas uma ameaça mais ampla que redefine os objetivos do agente e seu comportamento em múltiplas etapas, não apenas uma resposta isolada. Isso eleva o entendimento e a urgência sobre a necessidade de defesas mais robustas.

Este tipo de ataque é preocupante porque os agentes de IA estão recebendo cada vez mais autonomia e acesso a ferramentas com poder real, como visto no incidente do Grok e da carteira Bankr em maio de 2026, onde 150 mil a 200 mil dólares foram drenados. As defesas convencionais, focadas em validar inputs diretos do usuário, falham em proteger contra conteúdo que o agente recupera por conta própria. A capacidade de um agente ser "armado contra si mesmo" por uma simples página da web ou convite de calendário, como demonstrado por pesquisadores com o Gemini, significa que a segurança de sistemas baseados em IA precisa de uma reavaliação fundamental, tratando toda entrada de linguagem natural como não confiável.