Injeção de prompt

É o ataque em que instruções maliciosas entram no contexto do modelo e ele as obedece como se fossem legítimas. Na injeção direta, o próprio usuário escreve algo como “ignore suas instruções e...”. Na indireta, a instrução está escondida em um conteúdo que o sistema lê (uma página web, um e-mail, um documento, o resultado de uma ferramenta), e o usuário nem precisa ser o atacante. Não existe solução completa conhecida. A mitigação é feita em camadas: separar dados de instruções, limitar permissões, exigir aprovação para ações sensíveis, validar saídas e testar com red teaming. É a ameaça número um na lista do OWASP para aplicações com LLM.

Em Produto, qualquer sistema que lê conteúdo externo e tem ferramentas está exposto. Um e-mail com texto invisível pode instruir o agente a encaminhar dados; um documento plantado pode mudar o comportamento do assistente. As mitigações são conhecidas: tratar conteúdo recuperado como dado, e não como instrução; dar ao agente apenas as permissões mínimas; exigir aprovação humana para ações sensíveis; validar saídas; fazer red teaming. Nenhuma delas resolve sozinha. É um risco permanente, a ser gerenciado, e não um bug a ser corrigido uma vez.

Use injeção de prompt para o vetor de ataque: instruções maliciosas entrando no contexto. Use jailbreak para o objetivo de burlar as restrições do próprio modelo. Use vazamento de system prompt para uma das consequências possíveis da injeção. Uma forma simples de diferenciar: injeção sequestra a aplicação; jailbreak burla as regras do modelo; vazamento é o que se perde quando um dos dois funciona.

Nomeada por Simon Willison (setembro de 2022) por analogia com SQL injection; injeção indireta descrita por Greshake et al. (2023). Posição nº 1 no OWASP Top 10 para LLMs.

OWASP Top 10 for LLM Applications, LLM01 Prompt Injection (2025); Greshake et al., Not What You've Signed Up For (2023)