Em resumo
A Akamai detalhou uma classe de ataques que explora agentes de IA conectados a serviços externos, usando reconhecimento prévio e prompts cuidadosamente elaborados para influenciar suas decisões. O caso reforça que agentes com acesso a reservas, pagamentos ou dados privados precisam de controles além da simples filtragem de texto.
A Akamai publicou uma análise sobre uma ameaça que combina reconhecimento de sistemas e manipulação de instruções para atacar agentes de inteligência artificial. O estudo, intitulado “From Recon to Free Flights: Precision Prompt Attacks on AI Agents”, examina como um invasor pode preparar o terreno antes de enviar um comando aparentemente comum, mas desenhado para explorar as capacidades e limitações do agente.
A diferença em relação a um prompt malicioso genérico está no grau de preparação. Em vez de tentar induzir qualquer comportamento inesperado, o atacante observa quais ferramentas o agente pode acessar, que informações ele recebe, quais regras orientam suas respostas e quais etapas da operação podem ser influenciadas. O objetivo é aumentar a probabilidade de uma ação concreta, como alterar uma reserva, contornar uma política ou obter um benefício indevido.
Do reconhecimento à execução
Segundo a Akamai, o ataque começa com a coleta de informações sobre o ambiente do agente. Isso pode incluir a identificação de funções disponíveis, fluxos de atendimento, formatos de dados, mensagens de erro e limites de autorização. Quanto mais previsível for o comportamento do sistema, mais fácil se torna construir uma sequência de instruções que pareça compatível com o uso normal.
Essa fase de reconhecimento não precisa necessariamente envolver uma invasão tradicional. Um usuário pode testar o agente por meio de conversas sucessivas, observar respostas públicas e explorar inconsistências entre a linguagem apresentada ao cliente e as regras efetivamente aplicadas no backend. Pequenos detalhes revelados durante o atendimento podem indicar quais comandos, APIs ou processos estão por trás da interface.
Depois de entender o fluxo, o atacante formula um prompt de precisão. A mensagem pode misturar um pedido legítimo, informações contextuais e instruções destinadas a alterar a prioridade do agente. Como agentes frequentemente precisam interpretar linguagem natural e decidir quando usar ferramentas, a fronteira entre uma solicitação válida e uma tentativa de manipulação pode ficar pouco clara.
O exemplo dos voos gratuitos
O título da pesquisa faz referência a um cenário em que a manipulação de um agente poderia resultar em voos gratuitos. A ideia central não é que uma frase isolada tenha poderes especiais, mas que uma cadeia de decisões automatizadas, combinada com permissões inadequadas, permita chegar a um resultado que um funcionário ou sistema tradicional provavelmente bloquearia.
Em uma operação de viagens, por exemplo, um agente pode consultar itinerários, aplicar regras comerciais, emitir créditos ou interagir com sistemas de reserva. Se essas funções forem acessíveis sem autenticação forte, confirmação humana ou validação independente, um invasor poderá tentar induzir o agente a interpretar uma exceção como procedimento normal.
É importante distinguir o cenário analisado de uma confirmação de fraude em uma empresa aérea específica. A publicação da Akamai apresenta a técnica e seus riscos, mas as informações fornecidas não comprovam que uma companhia tenha sofrido o ataque descrito ou que bilhetes tenham sido efetivamente obtidos dessa maneira.
Por que as defesas tradicionais não bastam
Filtros que procuram palavras proibidas ou padrões conhecidos podem falhar diante de ataques adaptados ao contexto. Um prompt de precisão pode evitar termos obviamente suspeitos, dividir a intenção em várias etapas ou se apresentar como uma tarefa operacional legítima. A ameaça, portanto, não está apenas no texto recebido, mas na combinação entre texto, contexto, ferramentas e permissões.
A Akamai também chama atenção para o risco de confiança excessiva no próprio agente. Mesmo quando o modelo segue instruções de forma coerente, ele pode não ter condições de verificar se uma alegação é verdadeira, se uma exceção comercial foi autorizada ou se a pessoa tem direito à operação solicitada. Raciocínio plausível não equivale a autorização.
- Limitar as ferramentas disponíveis a cada fluxo de atendimento.
- Exigir autenticação e confirmação adicional para ações irreversíveis.
- Separar a interpretação do pedido da autorização para executá-lo.
- Registrar chamadas de ferramentas, mudanças de estado e decisões do agente.
- Testar cenários adversariais continuamente, incluindo ataques em várias etapas.
A resposta mais robusta envolve controles fora do modelo. Empresas devem aplicar o princípio do menor privilégio, validar parâmetros no sistema de destino e impedir que o agente transforme texto do usuário em autorização automática. Operações financeiras, alterações de reservas, concessão de descontos e acesso a dados sensíveis merecem verificações independentes e, quando necessário, aprovação humana.
Também é necessário monitorar a sequência das interações. Um único pedido pode parecer inofensivo, enquanto dezenas de tentativas graduais revelam uma estratégia de reconhecimento. Indicadores como consultas repetidas a regras internas, mudanças incomuns de fluxo e solicitações de exceção em série podem ajudar equipes de segurança a detectar a preparação antes da exploração.
O caso ilustra uma mudança de foco na segurança de aplicações com IA. A pergunta deixa de ser apenas se o modelo responde corretamente e passa a incluir se ele possui acesso adequado, se consegue distinguir instrução de dado, se suas decisões são auditáveis e se existe uma barreira confiável entre recomendação e execução.
A pesquisa da Akamai serve como alerta para organizações que estão conectando agentes a sistemas de negócio sem revisar seus modelos de ameaça. O risco tende a crescer à medida que esses sistemas ganham autonomia e passam de assistentes conversacionais a operadores capazes de realizar tarefas em nome do usuário.
Ainda não está confirmado, com base no material fornecido, quais produtos, empresas ou incidentes reais foram afetados, nem qual seria a taxa de sucesso dos ataques em ambientes específicos. Essas lacunas são relevantes: a gravidade prática depende das permissões concedidas, da qualidade das validações e da existência de registros que permitam interromper a operação.
O próximo passo para desenvolvedores e equipes de segurança é tratar agentes como componentes privilegiados de uma aplicação, e não como simples interfaces de chat. Isso significa revisar integrações, simular abuso, limitar efeitos colaterais e estabelecer critérios claros para quando o sistema deve parar e pedir intervenção humana.
O nosso prisma
A principal consequência da análise da Akamai é mostrar que a segurança de agentes não pode ser reduzida à moderação de prompts. O ataque descrito explora o sistema inteiro: reconhecimento, contexto, ferramentas e permissões. Na prática, organizações precisarão controlar cada transição entre interpretar uma solicitação e executar uma ação, especialmente em fluxos com impacto financeiro ou operacional. A ausência de confirmação de uma vítima específica não diminui o valor do cenário como teste de preparação e governança.
Recursos relacionados: aulas de inteligência artificial em português · formación práctica en inteligencia artificial
Fonte: Akamai
Perguntas frequentes
O que são ataques de precisão contra agentes de IA?
São ataques planejados para explorar o contexto, as ferramentas e as permissões de um agente, com instruções manipuladas para provocar uma ação específica.
Por que agentes de IA apresentam um risco maior?
Porque podem interpretar pedidos, consultar sistemas e executar operações, ampliando o impacto de uma instrução maliciosa ou ambígua.
A Akamai confirmou uma fraude em uma companhia aérea?
A fonte descreve um cenário e uma técnica de ataque; o material não confirma, por si só, uma fraude real ou uma vítima específica.
Receba o Jornal da IA todos os dias
As notícias de inteligência artificial que importam no Brasil — com o nosso prisma e sempre com as fontes. Grátis.
