Os botões “Pergunte ao ChatGPT”, “Pergunte ao Gemini” e “Ask AI” estão se espalhando rapidamente pela internet. Em poucos segundos, eles abrem uma conversa pronta com um assistente de inteligência artificial para resumir uma página, explicar um assunto ou responder dúvidas sobre determinado conteúdo.
Essa praticidade, porém, chamou a atenção da comunidade de segurança cibernética por um motivo preocupante: o texto enviado ao modelo nem sempre corresponde apenas ao que o usuário vê na tela. Em alguns casos, pesquisadores identificaram prompts cuidadosamente elaborados para orientar o comportamento do assistente, favorecer determinados sites ou tentar modificar a forma como futuras respostas são produzidas.
O ataque não explora uma falha tradicional de software nem instala malware no computador da vítima. Em vez disso, procura manipular o elemento mais importante dos Large Language Models (LLMs): o prompt, isto é, o conjunto de instruções que orienta a geração da resposta.
Embora os principais desenvolvedores de IA tenham implementado diversas camadas de proteção contra esse tipo de abuso, especialistas alertam que a Prompt Injection continua sendo uma das ameaças mais relevantes para aplicações baseadas em inteligência artificial. Frameworks como o MITRE ATLAS e documentos da Microsoft tratam essas técnicas como um vetor de ataque que merece atenção crescente.
O que realmente acontece quando você clica em “Pergunte à IA”
Ao contrário do que muitos imaginam, esses botões normalmente não enviam automaticamente uma pergunta simples ao ChatGPT ou ao Gemini.
Na prática, eles utilizam deep links, isto é, endereços especiais capazes de abrir uma nova conversa já contendo um texto previamente definido.
Quando utilizados de forma legítima, esses links apenas facilitam o trabalho do usuário. Em vez de copiar um texto inteiro para o ChatGPT, basta clicar no botão para abrir uma conversa com um comando como:
“Resuma este artigo.”
Esse comportamento é perfeitamente válido e não representa qualquer risco.
O problema aparece quando o autor do site decide incluir instruções adicionais, invisíveis para quem apenas clica no botão.
Quando um prompt deixa de ser útil e passa a ser manipulador
Pesquisadores vêm demonstrando que um prompt pode conter muito mais do que uma pergunta.
Além do pedido principal, ele pode incluir orientações destinadas ao próprio modelo, por exemplo:
- considerar determinado domínio como fonte confiável;
- favorecer uma marca específica em futuras recomendações;
- responder utilizando apenas determinados sites;
- ignorar conteúdos concorrentes;
- persuadir o usuário a aceitar determinadas conclusões.
Essas instruções fazem parte da categoria conhecida como Prompt Injection, técnica que busca alterar o comportamento do modelo explorando sua capacidade de interpretar linguagem natural.
O objetivo deixa de ser obter uma resposta e passa a ser influenciar a forma como essa resposta será construída.
Por que isso preocupa pesquisadores
Nos últimos anos, empresas passaram a disputar espaço não apenas no Google, mas também nas respostas produzidas pelos assistentes de IA.
Esse movimento originou o chamado Generative Engine Optimization (GEO), conjunto de práticas voltadas para aumentar a visibilidade de conteúdos em modelos generativos.
O GEO, por si só, não representa um problema.
Assim como o SEO busca melhorar a indexação em mecanismos de busca, o GEO procura tornar conteúdos mais compreensíveis para modelos de linguagem.
A preocupação surge quando algumas estratégias deixam de otimizar conteúdo e passam a tentar influenciar diretamente o comportamento do assistente.
É justamente essa mudança que levou pesquisadores a aproximarem determinadas práticas das técnicas catalogadas pelo MITRE ATLAS, framework desenvolvido especificamente para ameaças envolvendo inteligência artificial.
Existe risco para a memória do ChatGPT?
Essa é uma das maiores dúvidas atualmente.
Ferramentas como ChatGPT, Gemini e Claude oferecem recursos de memória que permitem lembrar preferências do usuário, estilo de escrita e outras informações autorizadas.
No entanto, não existe evidência pública de que um simples clique em um botão “Pergunte à IA” seja suficiente para comprometer automaticamente essa memória permanente.
O risco identificado pelos pesquisadores é diferente.
Um prompt pode tentar convencer o modelo — ou o próprio usuário — a registrar determinadas preferências, alterar configurações ou aceitar instruções persistentes.
As plataformas implementam mecanismos para impedir esse tipo de comportamento, mas justamente por envolver recursos de memória, personalização e contexto, o tema passou a receber atenção especial da comunidade de segurança.
Casos analisados por pesquisadores
Diversas análises públicas identificaram páginas contendo botões “Ask AI” que incluíam instruções além da pergunta apresentada ao usuário.
Em alguns experimentos, os prompts procuravam:
- favorecer produtos específicos;
- alterar critérios de recomendação;
- induzir respostas positivas sobre determinadas empresas;
- reduzir a visibilidade de concorrentes;
- orientar o modelo a utilizar apenas determinadas referências.
Os pesquisadores ressaltam que isso não significa que os modelos obedecerão automaticamente às instruções.
Na prática, ChatGPT, Gemini, Claude e outros LLMs possuem filtros, políticas de segurança e mecanismos de mitigação desenvolvidos justamente para reduzir o sucesso desse tipo de ataque.
Mesmo assim, esses estudos demonstram como a disputa por visibilidade nas respostas da IA está criando novas formas de manipulação.
Como reduzir os riscos
Embora os fornecedores estejam aprimorando continuamente seus sistemas, algumas medidas ajudam a minimizar possíveis problemas.
Antes de enviar qualquer prompt gerado automaticamente por um site, vale verificar o texto completo e confirmar se ele contém apenas a pergunta esperada.
Também é recomendável revisar periodicamente as configurações de memória do assistente para remover informações que não façam sentido ou que não tenham sido adicionadas intencionalmente.
Outra boa prática consiste em utilizar com cautela botões “Pergunte à IA” disponibilizados por páginas desconhecidas, especialmente quando envolvem comparações de produtos, recomendações técnicas ou conteúdo patrocinado.
O futuro desse tipo de ataque
À medida que os modelos de linguagem passam a integrar navegadores, sistemas operacionais, mecanismos de busca e aplicações corporativas, cresce também o interesse de pesquisadores e atacantes em explorar novas formas de manipular seu comportamento.
Por esse motivo, a Prompt Injection já é considerada uma das principais categorias de risco para aplicações baseadas em IA. Em vez de explorar vulnerabilidades tradicionais, ela tenta controlar o elemento mais importante dos modelos modernos: o contexto utilizado para produzir cada resposta.
Para usuários e empresas, a principal defesa continua sendo a mesma: compreender como essas técnicas funcionam, desconfiar de automações aparentemente inofensivas e acompanhar as recomendações de segurança publicadas pelos desenvolvedores dos próprios assistentes de inteligência artificial.
