Vulnerabilidade em S3 Vectors expõe LLMs a envenenamento de dados e riscos críticos

A notícia de 12 de agosto de 2026 detalha uma vulnerabilidade crítica no Amazon S3 Vectors, um serviço da AWS lançado em 2025 para armazenamento nativo de vetores e buscas de similaridade, otimizando custos para bases de conhecimento de Large Language Models (LLMs). A falha se concentra na permissão s3vectors:PutVectorBucketPolicy. Com ela, um atacante pode conceder acesso completo ao *data plane* de um bucket de vetores a uma conta AWS externa, mesmo com o *control plane* permanecendo exclusivo do proprietário.

Uma vez obtido o acesso, a permissão s3vectors:PutVectors permite o envenenamento de dados. O atacante injeta vetores com metadados falsificados ou textos maliciosos, explorando a falta de validação na escrita. Isso pode levar um LLM baseado em RAG (Retrieval Augmented Generation) a "alucinar" informações perigosas, como uma dosagem médica incorreta, mesmo citando fontes legítimas. Os logs do CloudTrail para essas ações, para agravar, estão desativados por padrão ou não capturam metadados essenciais, dificultando a detecção e auditoria.

A descoberta no Amazon S3 Vectors, reportada em 12 de agosto de 2026, eleva a discussão sobre prompt injection indireto para um novo patamar, focando na segurança da infraestrutura de dados. Nossa cobertura anterior, como a matéria de 25 de março de 2026 sobre "Oito Vetores de Ataque Dentro do AWS Bedrock", já alertava para riscos gerais em permissões e integrações da AWS. Agora, temos um detalhamento técnico preciso de como um serviço específico, o S3 Vectors, pode ser usado para envenenar as bases de conhecimento do Bedrock.

Enquanto artigos como "Vulnerabilidade Crítica no Agente de IA do GitHub Expõe Repositórios Privados" (11 de julho de 2026) e "Vulnerabilidade Crítica em Agente de IA Meta Manus Permite Prompt Injection Indireto Zero-Click" (26 de fevereiro de 2026) focaram na injeção de prompt direta em agentes, a falha no S3 Vectors revela um ataque na "cadeia de suprimentos" dos dados. Isso significa comprometer o LLM na origem do conhecimento, antes mesmo da consulta, tornando a proteção ainda mais complexa e exigindo uma reavaliação das políticas de segurança em nuvem para sistemas de IA.

Esta vulnerabilidade é crítica porque ataca a fundação de confiança dos LLMs: seus dados de treinamento e conhecimento. O envenenamento de dados em S3 Vectors pode ter consequências graves, especialmente em aplicações críticas como assistentes clínicos, onde informações erradas podem ser fatais. Para empresas que confiam em RAG e AWS para suas soluções de IA, a integridade dos dados e a segurança das operações são seriamente comprometidas.

A dificuldade de auditoria via CloudTrail agrava o cenário, exigindo uma postura de segurança proativa, com IAM rigoroso e validação manual. Esta descoberta ressalta que a segurança de IA não é apenas sobre o modelo em si, mas sobre todo o ecossistema de dados e infraestrutura que o suporta. Isso transforma a gestão de vulnerabilidades em serviços de nuvem num pilar essencial da cibersegurança de IA.