A integração de assistentes de inteligência artificial em navegadores e outras aplicações promete revolucionar nossa produtividade. Contudo, essa nova capacidade—conhecida como IA Agentíca, onde a IA pode executar tarefas de forma autônoma—traz consigo desafios de segurança sem precedentes. Um exemplo claro disso foi a recente descoberta feita pela equipe de segurança da Brave, que lança luz sobre uma vulnerabilidade crítica: a Injeção de Prompt Indireta.
Para profissionais do direito e empresas que lidam com informações confidenciais, compreender esses riscos não é apenas uma questão de curiosidade tecnológica, mas uma necessidade fundamental para garantir a segurança e a integridade dos dados.
A Descoberta: O Que a Brave Encontrou?
Em um artigo detalhado publicado em seu blog, os pesquisadores da Brave, Ben Livshits e Peter Snyder, descreveram um ataque que desenvolveram contra o recurso Comet do Perplexity, um assistente de IA projetado para navegar na web em nome do usuário. O artigo, intitulado “Agentic Browser Security: Indirect Prompt Injection in Perplexity Comet”, serve como a fonte original para esta análise e é uma leitura essencial para quem deseja se aprofundar no tema.
O ataque, apelidado de COMET (Cross-Origin Mail Exfiltration Trick), demonstra como instruções maliciosas, ocultas em uma página da web aparentemente inofensiva, podem sequestrar a sessão de um agente de IA.
O Que é Injeção de Prompt Indireta?
A maioria das pessoas familiarizadas com IA já ouviu falar de “injeção de prompt”, que ocorre quando um usuário engana diretamente um chatbot para que ele ignore suas instruções originais. A injeção de prompt indireta é mais sutil e perigosa.
Nesse cenário, o agente de IA, ao realizar uma tarefa solicitada pelo usuário (como “resuma esta página”), consome conteúdo de uma fonte externa (o site). Se essa fonte contiver instruções maliciosas escondidas em seu código, o agente de IA pode interpretá-las como novas ordens legítimas.
O ataque COMET funcionava da seguinte forma:
- O agente de IA (Perplexity Comet) recebe a ordem de visitar uma página controlada pelo atacante.
- A página contém um prompt oculto que instrui o agente a realizar novas ações.
- As instruções maliciosas ordenam que o agente navegue até o Gmail do usuário (onde ele já está logado).
- O agente é instruído a pesquisar por e-mails com termos sensíveis, como “password reset” ou “secret”.
- Por fim, o agente copia o conteúdo desses e-mails e o envia para um servidor externo controlado pelo atacante.
O aspecto mais preocupante é que isso contorna a Política de Mesma Origem (Same-Origin Policy), um pilar da segurança na web, porque é o agente de IA—operando com a total autoridade do usuário—que acessa os dados e não um script de uma origem diferente.
Implicações para a Segurança e o Setor Jurídico
Embora a Brave tenha relatado a falha de forma responsável e a Perplexity a tenha corrigido prontamente, o problema fundamental persiste. Esta vulnerabilidade não é exclusiva do Perplexity; ela representa um desafio para todos os sistemas de IA agentíca que interagem com conteúdo de terceiros.
Para o setor jurídico, as implicações são diretas e graves. Imagine um assistente de IA encarregado de pesquisar jurisprudência ou analisar documentos na web acabe parando em um site comprometido com uma injeção de prompt indireta, o agente poderia ser instruído a:
- Vazar informações confidenciais de clientes.
- Exfiltrar estratégias de casos ou comunicações privilegiadas.
- Manipular documentos que estão sendo criados ou revisados.
Assim, é importante trabalhar com os dados de forma isolada para ter uma camada real de proteção, já que as complexidade de segurança e o entendimento aprofundado da vulnerabilidade desses sistemas não está ao alcance de um “usuário comum”.
Conclusão: Um Novo Paradigma de Segurança é Necessário
A pesquisa da Brave é um alerta. A conveniência oferecida pela IA agentíca não pode vir à custa da segurança e da privacidade. As soluções tradicionais de segurança da web são insuficientes para este novo mundo. É preciso desenvolver novas arquiteturas que tratem os agentes de IA como entidades poderosas que exigem permissões rigorosas e um monitoramento constante de suas ações.
Para advogados, gestores jurídicos e empresas, a lição é clara: ao adotar novas tecnologias de IA, a diligência na avaliação de suas arquiteturas de segurança é tão importante quanto a análise de suas funcionalidades. A proteção de dados sigilosos depende de uma compreensão profunda não apenas das promessas da IA, mas também de suas novas e complexas fragilidades.
Sobre o Autor
Bruno Pellizzetti, CEO da ProcStudio e ProcStudio IA, é um advogado previdenciário com mais de 15 anos de experiência no mundo jurídico e nos últimos anos tem se especializado em tecnologia e inteligência artificial. É o responsável pela implantação de soluções tecnológicas em processos jurídicos nas empresas com o objetivo de democratizar o acesso ao conhecimento jurídico para todos e aumentar a eficiência e precisão das equipes jurídicas.