Novo ataque de "Injeção de Dados de Agente" faz agentes de IA clicar em elementos maliciosos ou executar comandos do atacante
Pesquisadores demonstraram uma nova classe de ataque, batizada de Agent Data Injection (ADI), que engana agentes de IA ao corromper os dados que eles julgam confiáveis, sem precisar sequestrar as instruções originais da tarefa. Usando caracteres que imitam delimitadores estruturais (aspas, chaves, cifrões), o ataque cria campos falsos que o modelo interpreta como parte legítima do contexto. A técnica atingiu de 31% a 100% de sucesso contra agentes como Claude in Chrome, Claude Code, OpenAI Codex e Gemini CLI, dependendo do tipo de dado manipulado.
Pesquisadores da Seoul National University, University of Illinois Urbana-Champaign e Largosoft publicaram, em 6 de julho de 2026, um estudo descrevendo o Agent Data Injection (ADI) e testando-o contra múltiplos agentes de navegação web e assistentes de código, com provas de conceito funcionais e um benchmark disponibilizado publicamente.
O ataque explora a forma como agentes usam pontuação e marcação (aspas, chaves, tags) para separar campos de dados confiáveis do conteúdo externo não confiável que estão processando. Ao inserir caracteres semelhantes a delimitadores — aspas escapadas, aspas curvas, cifrões — dentro de uma avaliação de produto ou de um comentário de GitHub, o atacante engana o modelo, que passa a interpretar esse texto como estrutura real e cria campos falsificados, como um preço ou um link de ação forjados. Notavelmente, os pesquisadores mostram que a pontuação falsa nem precisa estar sintaticamente correta para funcionar.
A superfície de ataque é qualquer conteúdo de terceiros que um agente processa no curso normal de uma tarefa: uma review de produto, um comentário em uma thread de pull request, o corpo de uma página web. Isso torna fraude e sequestro de ação triviais de disparar sem exploit tradicional, e a taxa de sucesso próxima de 100% em dados não estruturados de páginas web é particularmente preocupante, já que é justamente o cenário mais comum de uso de agentes de navegação.
As mitigações testadas mostram um trade-off real: usar identificadores aleatórios e imprevisíveis para elementos reduz o sucesso do ataque de 49% para 29%, mas não o elimina; já o rastreamento de proveniência de cada dado bloqueia 100% dos ataques testados, só que ao custo de quebrar funcionalidade normal do agente. Não há, até o momento, uma solução simples que preserve utilidade e feche a lacuna por completo.