Prompt injection: o comando invisível que engana a leitura da IA

O Tribunal de Contas do Estado do Paraná (TCE-PR) identificou comandos ocultos em um pedido de medida cautelar protocolado na corte. Segundo o RIC Notícias Noite, as frases, invisíveis a olho nu, foram inseridas para tentar influenciar a análise do documento por ferramentas de inteligência artificial, técnica conhecida como prompt injection. O tribunal afirma que seus mecanismos de segurança detectaram a tentativa e que a distribuição do processo não foi alterada.

O que o Tribunal de Contas encontrou no documento

A peça é uma representação contra atos da licitação do programa Olho Vivo, do Governo do Paraná, apresentada em nome do deputado estadual Arilson Chiorato (PT), que pedia a suspensão da iniciativa. De acordo com reportagem do RIC Notícias Noite, ao examinar o arquivo o tribunal localizou instruções imperceptíveis para quem faz a leitura comum.

Carlos César Caríssimi, especialista em inteligência artificial da Secret Solutions, plataforma de IA para operações de e-commerce, explicou à emissora como o recurso opera: o texto é gravado na mesma cor do fundo da página, de modo que o leitor humano não vê nada, enquanto o sistema que processa o arquivo recebe aquilo como orientação legítima. Para ele, a facilidade de execução não reduz o estrago. "Ao mesmo tempo que ela é super simplória, ela pode ser sim muito danosa", disse ao RIC Notícias Noite. O risco apontado é a análise ser empurrada para uma conclusão diferente da que o julgador alcançaria sozinho.

Sobre como evitar o problema, o especialista indicou o uso de guard rails: camadas de controle que fazem o modelo barrar tentativas de romper as instruções com que foi treinado. É uma defesa aplicada ao sistema, não ao documento.

O episódio não é isolado. Ainda conforme a reportagem, o Superior Tribunal de Justiça também identificou tentativas do tipo, bloqueadas pelo sistema de segurança e levadas a investigação. No Paraná, a OAB-PR abriu procedimento sobre o caso e o TCE-PR informou que vai determinar a responsabilidade pela conduta; em nota, o deputado afirmou desconhecer o mecanismo. A licitação do Olho Vivo, registra a emissora, já havia sido barrada pelo próprio tribunal, que pediu mais explicações ao governo.

Por que isso importa para quem opera e-commerce

A técnica não depende de contexto jurídico. Ela funciona contra qualquer sistema de inteligência artificial que leia um arquivo produzido por terceiro e decida algo a partir do que leu. Num tribunal, o alvo é a análise de uma petição; numa operação de varejo, o alvo é o que entra no estoque, no catálogo e na tabela de preço.

A superfície exposta de um e-commerce médio é maior do que parece. Todo dia entram arquivos que ninguém escreveu internamente: XML de nota fiscal, ficha técnica de fornecedor, tabela de preço, arquivo de integração de marketplace e mensagem de cliente no atendimento. Quando um modelo passa a ler esse material para poupar horas de digitação, ele herda a confiança que antes era do conferente humano.

O ponto sensível é a diferença entre dado e instrução. Para o sistema, o conteúdo do arquivo e o pedido do operador chegam pelo mesmo canal, em texto, e uma frase em tom de comando pode acabar executada como se viesse de dentro de casa. Basta que alguém na cadeia saiba que há um robô lendo aquilo do outro lado.

O que muda na prática

A resposta não é abandonar automação, e sim mudar o pressuposto de confiança sobre o que chega de fora. Documento de terceiro passa a ser tratado como entrada não confiável, como qualquer desenvolvedor já trata um formulário aberto ao público. Cinco ajustes concentram a maior parte do ganho:

Instalar guard rails no sistema. Regras que bloqueiem tentativas de sobrescrever as instruções originais do modelo, medida apontada pelo especialista na reportagem.
Separar dado de instrução. O conteúdo extraído de um arquivo entra como material a ser analisado, nunca como ordem a ser cumprida.
Higienizar antes de processar. Extrair o texto puro, incluindo camadas invisíveis e metadados, e comparar com o que o olho humano vê. Divergência entre os dois é sinal de alerta.
Limitar o alcance da decisão automática. Ler, classificar e sugerir é uma coisa; alterar preço, liberar pagamento ou aprovar cadastro é outra. Ação irreversível pede confirmação humana.
Registrar o que o modelo leu. Sem trilha do texto que entrou e da decisão que saiu, não há como reconstituir uma manipulação depois que ela acontece.

Como a Secret Solutions enxerga esse cenário

Para a Secret Solutions, o caso do TCE-PR ilustra um problema estrutural no varejo: o dado que entra por uma porta mal vigiada não fica parado ali. Ele caminha. Um arquivo de fornecedor processado sem checagem no recebimento vira ficha de produto, anúncio publicado, preço praticado e resposta dada ao cliente.

É esse fio que a empresa chama de continuidade do dado, e ele organiza o portfólio: a Entrada e Recebimento de Produtos automatiza o fluxo fiscal e a conferência de mercadorias; o Catálogo Inteligente centraliza produtos e preços num hub único para todos os canais; a Gestão de Transportes cuida de frete e status de entrega; e o Solcon leva a informação ao cliente no atendimento omnichannel, com o WhatsApp como canal principal. Nessa arquitetura, o controle de entrada deixa de ser detalhe técnico: é o que impede que um erro nascido no recebimento chegue ao consumidor.

Vale inverter a pergunta: em vez de checar se a operação já foi alvo disso, convém mapear onde um documento externo é lido por IA sem que ninguém confira o que havia escrito nele. Fale com a Secret Solutions no WhatsApp para discutir esse cenário na sua operação.

Perguntas frequentes

O que é prompt injection?

Prompt injection é a inserção de instruções dentro de um conteúdo para alterar o comportamento da IA que vai processá-lo. O texto costuma ser imperceptível para quem lê o arquivo normalmente, mas é capturado pela leitura automatizada. Na prática, o sistema trata como ordem legítima aquilo que deveria ser apenas informação.

Como um comando oculto fica invisível em um documento?

No caso do TCE-PR, o texto foi escrito na mesma cor do fundo da página: imperceptível na leitura visual, mas ainda legível por máquina. Variações do mesmo princípio usam fonte muito reduzida, texto fora da área impressa e informação gravada em metadados.

O que são guard rails em inteligência artificial?

Guard rails são camadas de controle que limitam o que o modelo aceita e executa, bloqueando tentativas de sobrescrever as instruções de quem opera o sistema. Foi a defesa citada pelo especialista ouvido pelo RIC Notícias Noite. Em e-commerce, funcionam junto com revisão humana nas decisões irreversíveis.

Fonte: RIC Notícias Noite