A ascensão da inteligência artificial multimodal — aquela capaz de compreender simultaneamente texto, imagens, áudio e vídeo — abre enormes possibilidades para aplicações inovadoras, mas também cria novas superfícies de ataque. Um novo ataque de IA em imagens, descoberto por pesquisadores da Trail of Bits, mostra que o que os olhos humanos veem em uma foto pode ser completamente diferente do que uma IA “lê” quando processa o mesmo arquivo.
O estudo revelou uma técnica engenhosa que injeta prompts maliciosos invisíveis dentro de imagens aparentemente inofensivas. Essa ameaça pode explorar vulnerabilidades em sistemas famosos como o Google Gemini, o Vertex AI e até mesmo o Assistente do Google, levantando sérias preocupações de segurança.
Neste artigo, vamos explicar de forma acessível como esse ataque funciona, o que significam termos técnicos como reamostragem, aliasing e interpolação, quais plataformas estão em risco e quais medidas de proteção já estão sendo discutidas para enfrentar o problema.
O que é um ataque de injeção de prompt multimodal?
Uma injeção de prompt ocorre quando um atacante consegue enganar um modelo de IA para executar uma tarefa que não deveria, inserindo instruções ocultas em seu input. Esse tipo de manipulação já é conhecido no contexto de chatbots de texto, mas agora se expande para o universo multimodal — ou seja, ataques que podem vir de imagens, áudios ou vídeos.
No caso das imagens, a IA não interpreta apenas os pixels como elementos gráficos. Ela pode extrair texto embutido ou padrões ocultos, e é aí que reside a vulnerabilidade explorada pela nova técnica.
Como funciona o novo ataque de imagem
O segredo está no redimensionamento (downscaling)
Para reduzir custo computacional e acelerar respostas, modelos de IA geralmente redimensionam imagens antes de analisá-las. Esse processo, chamado de downscaling, transforma imagens grandes em versões menores que exigem menos memória e processamento.
Os algoritmos mais usados nesse processo são o vizinho mais próximo, o bilinear e o bicúbico. Cada um desses métodos aplica uma forma diferente de interpolação, mas todos compartilham a característica de gerar pequenas distorções no resultado final.
Artefatos e aliasing: deixando o invisível visível para a IA
Essas distorções são chamadas de artefatos. Em condições normais, eles passam despercebidos para o olho humano. Mas os pesquisadores descobriram que é possível projetar uma imagem de alta resolução de forma que, ao ser reduzida, os artefatos formem letras e comandos ocultos que a IA interpreta como texto.
Esse fenômeno, conhecido como aliasing, permite criar imagens “camufladas”: para nós, uma simples foto; para a IA, uma ordem maliciosa que pode resultar no roubo de informações sensíveis.
Gemini e outros gigantes na mira: quem está vulnerável?
Segundo a pesquisa, sistemas como o Google Gemini CLI, o Vertex AI e até o Assistente do Google foram confirmados como vulneráveis ao ataque.
Imagine, por exemplo, que uma imagem aparentemente normal seja enviada a um modelo conectado à sua conta do Google Agenda. O ataque poderia ocultar um prompt que instrui a IA a extrair e revelar compromissos pessoais ou dados privados, sem que o usuário tenha ciência.
Isso transforma uma simples foto em uma poderosa arma de exfiltração de dados.
Anamorpher: a ferramenta que torna o ataque real
Para demonstrar o ataque, os pesquisadores da Trail of Bits lançaram a ferramenta Anamorpher, um software open-source capaz de criar imagens que exploram essa falha.
O objetivo, segundo eles, não é fornecer uma arma a cibercriminosos, mas sim alertar a comunidade de segurança. Com o Anamorpher, desenvolvedores e empresas podem testar seus próprios sistemas e identificar vulnerabilidades antes que sejam exploradas em larga escala.
Como se proteger dessa nova ameaça?
Os pesquisadores sugeriram algumas medidas práticas de mitigação para reduzir os riscos:
- Restringir as dimensões das imagens enviadas ao sistema, limitando a superfície de ataque.
- Exibir ao usuário uma prévia da imagem já redimensionada, ou seja, o que a IA realmente interpretará.
- Solicitar confirmação explícita sempre que a IA detectar texto em uma imagem e precisar executar uma ação sensível.
Essas abordagens não eliminam totalmente o problema, mas aumentam a transparência e a segurança no processamento multimodal.
Conclusão: O futuro da segurança em IA multimodal
O ataque anamórfico mostra que a segurança em IA vai muito além de firewalls ou antivírus tradicionais. À medida que os modelos se tornam mais complexos, também se tornam mais expostos a ataques criativos e inesperados.
O simples ato de redimensionar uma imagem pode transformar um arquivo inofensivo em uma porta de entrada para roubo de dados. Isso reforça a necessidade de auditorias constantes, boas práticas de desenvolvimento e da colaboração entre pesquisadores, empresas e comunidade open source.
Agora, cabe a nós refletir: confiamos realmente na segurança das ferramentas de IA que usamos diariamente?
