A empresa Adversa AI divulgou uma técnica batizada de "Cryptographic Context Injection" que engana o chatbot Grok, da xAI, fazendo-o decifrar e executar instruções maliciosas cifradas embutidas em uma página web comum. O ataque consegue exfiltrar nome do usuário, localização aproximada, nível de assinatura e trechos da conversa em andamento para um servidor controlado pelo atacante, e segue sem correção pública meses depois do primeiro aviso à xAI.
A Varonis Threat Labs revelou três vulnerabilidades no Microsoft Copilot Personal, batizadas de CoSnitch, que permitiam a um atacante executar um prompt malicioso dentro da sessão autenticada da vítima assim que ela abrisse um link, sem qualquer outra interação. As falhas combinavam parâmetros de URL não documentados, o próprio buscador de URLs do assistente para exfiltrar dados de apps conectados, e escrita persistente na memória do Copilot a partir de páginas resumidas. A Microsoft corrigiu o problema em 18/08/2026, sem evidência de exploração ativa.
Duas equipes de pesquisa independentes, PromptArmor e Varonis Threat Labs, mostraram formas distintas de manipular o assistente Rovo para coletar dados do Jira e Confluence acessiveis ao usuario logado e envia-los a um servidor externo. Apenas a rota descoberta pela Varonis, batizada de RovoBlast, foi confirmada como corrigida pela Atlassian; a tecnica da PromptArmor segue com status nao confirmado apos a divulgacao.
Gareth Heyes, da PortSwigger, apresentou na Black Hat USA 2026 uma serie de tecnicas que usam HTML e CSS ja permitidos por provedores de webmail para romper o isolamento entre o conteudo de um email e a interface que o exibe. Entre os exemplos mais graves estao cadeias que enganam assistentes de IA conectados ao email, como o Claude Cowork da Anthropic no Gmail e o OpenAI Atlas no Fastmail, levando-os a executar instrucoes escondidas dentro de mensagens e vazar tokens de autenticacao.
O artigo mostra que os "modelos de mundo" usados para dar a agentes de IA a capacidade de prever o resultado de suas próprias ações introduzem uma nova superfície de ataque: um adversário pode induzir previsões erradas em até 95% dos casos testados, levando agentes baseados em terminal a executar comandos maliciosos ou vazar dados sensíveis. Os autores argumentam que parte do risco é intrínseca à própria ideia de modelagem aproximada de mundo, não apenas um bug de implementação.
Pesquisadores identificam a interface de ferramentas (tool calling) como uma superfície de ataque negligenciada em agentes de IA com memória de longo prazo: uma ferramenta maliciosa pode exfiltrar dados privados de um usuário sem violar o isolamento entre contas. O ataque proposto, SPORE, consegue extrair 80% dos registros de memória quando não há limite de gatilhos, e ainda assim 47% com apenas 20 gatilhos, permitindo inclusive vincular os dados extraídos à identidade de usuários específicos.
Pesquisadores da Cereblab descobriram que o Grok Build, ferramenta de codificação assistida por IA da xAI/SpaceX, empacotava repositórios inteiros de usuários em git bundles e os enviava para armazenamento em nuvem do Google, com retenção de dados ativada por padrão para contas não-enterprise. Após a repercussão negativa, a empresa desligou a retenção padrão, apagou os dados retidos e liberou o código-fonte (cerca de 844 mil linhas de Rust) para auditoria pública, ainda que resquícios do código de upload continuem presentes no repositório, apenas desativados.