Projetando Agentes para Resistir a Ataques de Prompt Injection

Ataques de prompt injection deixaram de ser um problema técnico de 'overwriting' de comandos e viraram uma ameaça operacional que imita engenharia social em tempo real, e a OpenAI, ao detalhar isso em 12 de março de 2026, está reconhecendo um salto crítico: o inimigo não está mais tentando burlar o modelo, mas manipular o agente como se fosse uma pessoa distraída. Isso explica por que os casos recentes vão além de vazamentos acidentais (como o do Bing Chat em 2023) e avançam para sequestro ativo de agentes no GitHub, com roubo de chaves de API via títulos de pull requests, ou até tentativas de fraude processual no STJ Logos, onde comandos invisíveis foram embutidos em petições jurídicas.

O 'Lockdown Mode' da OpenAI, lançado em junho de 2026, é a primeira resposta prática que desvia do paradigma antigo de 'filtrar entrada' para adotar contenção de dano: ele não impede a injeção, mas corta canais de exfiltração, como navegação web e acesso a dados externos. É uma mudança de mentalidade, de defesa reativa para postura de resiliência operacional, alinhada com o que a Microsoft já chamou de 'defesa em profundidade' para IA, com 'Prompt Shields', separação estrutural de contextos e aplicação rigorosa do privilégio mínimo.

Essa evolução afeta diretamente quem usa agentes autônomos em produção: empresas que integram LLMs a sistemas legados, escritórios de advocacia que automatizam análise de processos, equipes de DevOps que confiam em agentes para revisão de código no GitHub. Um agente comprometido não só revela segredos, pode executar ações maliciosas em nome do usuário, como aprovar pull requests falsos, alterar configurações de nuvem ou gerar documentos juridicamente vinculativos com instruções ocultas. A segurança de IA deixou de ser um tópico de pesquisa e virou requisito de compliance, especialmente com órgãos como o STJ já abrindo processos administrativos por uso indevido da técnica.