Pesquisadores da Barracuda Networks identificaram uma modalidade de ataque por e-mail que busca comprometer dois alvos ao mesmo tempo: o destinatário da mensagem e o assistente de inteligência artificial utilizado para processá-la. A descoberta foi apresentada em uma análise publicada em outubro de 2026, que detalha como criminosos estão adaptando técnicas tradicionais de phishing para explorar ferramentas de IA integradas às atividades corporativas.
Em uma das campanhas investigadas, os atacantes utilizaram mensagens aparentemente legítimas, acompanhadas de anexos protegidos por senha. Enquanto o conteúdo visível tentava induzir o destinatário a abrir o arquivo, instruções ocultas no código da mensagem buscavam interferir no funcionamento de assistentes de IA responsáveis por resumir e organizar e-mails.
A intenção era fazer com que essas ferramentas classificassem a comunicação fraudulenta como legítima ou urgente, aumentando as chances de interação da vítima.
O método combina engenharia social com prompt injection, técnica que permite inserir comandos maliciosos em conteúdos analisados por modelos de inteligência artificial. Segundo a Barracuda, os ataques exploram justamente a confiança que usuários depositam nas informações apresentadas por seus assistentes digitais.
Um e-mail, dois alvos: como funciona o ataque
O exemplo analisado pelos pesquisadores apresentava características que poderiam dificultar sua identificação como phishing.
Os campos de remetente e destinatário exibiam o mesmo endereço de e-mail, a mensagem apresentava uma classificação de spam considerada confiável e sua origem estava associada a um domínio do setor público. Esses elementos contribuíam para transmitir uma aparência de legitimidade.
O corpo do e-mail também incluía um anexo protegido por senha, disponibilizada na própria mensagem. Essa abordagem é conhecida em campanhas de phishing porque arquivos criptografados podem dificultar a inspeção automatizada de conteúdo por determinadas ferramentas de segurança.
Caso o usuário abrisse o arquivo e seguisse as instruções fraudulentas, o ataque poderia resultar no roubo de credenciais ou na instalação de malware.
A particularidade identificada pela Barracuda estava em uma segunda camada de conteúdo.
Além das informações apresentadas ao destinatário, o e-mail continha instruções destinadas ao assistente de inteligência artificial. Esses comandos buscavam alterar a interpretação da mensagem, influenciando o resumo produzido pela ferramenta.
Assim, mesmo que o funcionário inicialmente ignorasse o e-mail, o atacante poderia tentar alcançá-lo indiretamente. Ao consultar seu assistente para identificar mensagens importantes, por exemplo, o usuário poderia receber uma recomendação manipulada que destacasse a comunicação fraudulenta como prioritária.
O ataque não depende necessariamente de comprometer a infraestrutura do provedor de IA. Ele explora a maneira como a ferramenta interpreta informações recebidas de fontes externas.
Prompt injection: instruções escondidas no conteúdo do e-mail
O prompt injection ocorre quando instruções inseridas em uma fonte não confiável tentam modificar o comportamento de um sistema de inteligência artificial.
Em condições normais, um assistente de e-mail deveria interpretar o conteúdo recebido como informação a ser analisada. O problema aparece quando comandos presentes nessa informação passam a influenciar suas respostas ou ações.
Um criminoso pode, por exemplo, incluir um texto solicitando que o assistente ignore orientações anteriores e apresente uma mensagem fraudulenta como uma solicitação administrativa legítima.
A Barracuda identificou quatro técnicas utilizadas para esconder essas instruções dos usuários.
Comentários HTML
Mensagens formatadas em HTML podem conter comentários que não aparecem durante a leitura normal do e-mail.
Os atacantes utilizam esses espaços para inserir instruções maliciosas que permanecem no código-fonte da mensagem.
Quando um assistente recebe o conteúdo bruto do e-mail para análise, esses comentários também podem ser incluídos no material processado.
A exploração depende de como o sistema interpreta as informações. Se o conteúdo externo não for devidamente isolado das instruções legítimas, os comandos ocultos poderão interferir na resposta produzida.
Textos ocultos por CSS
Outra abordagem utiliza propriedades de formatação para esconder instruções no corpo da mensagem.
Os pesquisadores identificaram o uso de recursos como fontes com tamanho zero, textos brancos sobre fundos brancos e elementos configurados para não aparecer na interface.
O destinatário visualiza uma comunicação aparentemente normal, mas o código contém informações adicionais.
Se o sistema de IA processar essas informações sem considerar sua origem e finalidade, poderá incorporar as instruções ocultas ao resultado da análise.
Conteúdo codificado em Base64
A pesquisa também descreve a utilização de blocos codificados em Base64 para disfarçar comandos.
Essa codificação é comum no funcionamento de aplicações e mensagens eletrônicas. Seu uso, por si só, não indica uma ameaça.
Nos ataques analisados, entretanto, ela pode servir para esconder instruções que serão recuperadas durante etapas automatizadas de extração e decodificação de conteúdo.
O risco surge quando os dados decodificados são encaminhados ao assistente e interpretados como comandos, em vez de permanecerem restritos ao conteúdo que deveria ser analisado.
Caracteres Unicode invisíveis
A quarta técnica envolve caracteres Unicode de largura zero, que podem ser inseridos em sequências de texto sem produzir alterações visuais perceptíveis.
Esses caracteres permitem ocultar ou ofuscar partes de uma mensagem, dificultando a identificação de determinados padrões durante inspeções convencionais.
Dependendo da forma como o conteúdo é normalizado e processado, as instruções podem chegar ao modelo de inteligência artificial em uma representação diferente daquela visualizada pelo usuário.
As quatro técnicas exploram uma característica comum: a diferença entre aquilo que uma pessoa consegue enxergar na mensagem e o conteúdo efetivamente recebido pelo sistema automatizado.
Fraudes financeiras e manipulação de processos estão entre os riscos identificados
A Barracuda apresentou exemplos que demonstram como o prompt injection pode atingir atividades empresariais além da leitura de e-mails.
Um dos casos envolve uma mensagem com informações de pagamento. Nela, um bloco de texto oculto instrui o assistente de IA a acrescentar ao resumo uma solicitação prioritária de alteração dos dados bancários de um fornecedor.
O objetivo é fazer com que o funcionário receba uma orientação fraudulenta aparentemente originada do próprio assistente.
Se a recomendação for aceita sem confirmação por outro canal, o pagamento poderá ser direcionado para uma conta controlada pelo criminoso.
A diferença em relação a uma fraude convencional está na origem aparente da solicitação. Em vez de depender exclusivamente da credibilidade do remetente, o ataque tenta utilizar a ferramenta de IA como intermediária para transmitir a instrução.
Outro exemplo apresentado pelos pesquisadores envolve sistemas automatizados de recrutamento.
Nesse caso, um currículo contém instruções ocultas para que a inteligência artificial atribua ao candidato uma avaliação máxima e recomende sua convocação imediata para entrevista, independentemente de suas qualificações.
O mesmo princípio pode ser aplicado a outros processos que utilizam IA para interpretar documentos e produzir recomendações.
A pesquisa também descreve tentativas de manipulação de assistentes de atendimento ao cliente. Os atacantes simulam solicitações administrativas ou procedimentos de manutenção para induzir as ferramentas a revelar informações sobre suas configurações internas.
No desenvolvimento de software, o risco aparece quando assistentes de programação consultam documentações externas comprometidas.
Uma página aparentemente técnica pode conter instruções destinadas a alterar o código produzido pelo assistente, incluindo comandos que exponham credenciais utilizadas por aplicações.
Esses exemplos não significam que qualquer assistente de IA executará automaticamente instruções maliciosas. A eficácia depende da arquitetura da ferramenta, dos controles implementados e das permissões disponíveis.
Ainda assim, os cenários documentados pela Barracuda mostram como conteúdos externos podem ser utilizados para tentar interferir em decisões e operações que anteriormente dependiam exclusivamente da interação humana.
Por que os filtros tradicionais de e-mail podem não ser suficientes?
Soluções convencionais de segurança de e-mail procuram identificar ameaças por meio da análise de remetentes, reputação de domínios, links, anexos e características associadas a campanhas maliciosas.
Esses mecanismos continuam importantes, mas os ataques identificados pela Barracuda acrescentam uma dificuldade: parte do conteúdo malicioso não foi desenvolvida para ser interpretada por uma pessoa.
Instruções ocultas em comentários HTML, elementos CSS ou blocos codificados podem passar despercebidas em verificações que priorizam o conteúdo visível da mensagem.
Mesmo quando o e-mail não contém um link malicioso evidente, seu código pode apresentar instruções destinadas a influenciar sistemas automatizados.
Há ainda o problema das permissões concedidas aos assistentes.
Uma ferramenta limitada à elaboração de resumos oferece uma superfície de ataque diferente daquela que também consegue consultar documentos internos, modificar registros ou executar operações em outros sistemas.
Quanto maior a capacidade de atuação do assistente, maior poderá ser o impacto de uma manipulação bem-sucedida.
Por isso, a análise de segurança não deve considerar apenas a mensagem recebida. Também é necessário avaliar como o conteúdo será processado, quais dados estarão disponíveis ao modelo e quais ações poderão ser executadas a partir de suas respostas.
Como as empresas podem reduzir os riscos de prompt injection?
A Barracuda recomenda uma abordagem de proteção em múltiplas camadas, combinando controles para identificar conteúdo suspeito com restrições ao funcionamento dos assistentes.
Uma das medidas é a sanitização das informações antes de encaminhá-las aos sistemas de IA. Esse processo pode incluir a identificação de comentários HTML, elementos invisíveis e sequências de caracteres utilizadas para ocultar instruções.
Também é importante implementar mecanismos capazes de reconhecer tentativas de prompt injection, especialmente comandos que solicitam alterações de comportamento incompatíveis com a finalidade da ferramenta.
Essas verificações, entretanto, não devem ser tratadas como garantias absolutas. Instruções maliciosas podem assumir diferentes formatos e nem sempre apresentam padrões facilmente reconhecíveis.
Outro cuidado envolve a aplicação do princípio do menor privilégio.
Assistentes responsáveis apenas por resumir mensagens não precisam, por exemplo, receber permissões para modificar informações financeiras ou executar ações administrativas.
Nos casos em que a integração com sistemas corporativos é necessária, operações sensíveis devem permanecer sujeitas a controles adicionais.
Alterações de dados bancários, transferências financeiras, compartilhamento de informações confidenciais e outras atividades críticas devem exigir validação independente e, quando aplicável, aprovação humana.
O monitoramento das interações também merece atenção. Registros de processamento, respostas produzidas e operações solicitadas podem ajudar equipes de segurança a identificar tentativas recorrentes de manipulação.
A principal recomendação técnica é manter uma separação clara entre dados externos e instruções confiáveis.
Um e-mail recebido, um currículo anexado ou uma documentação consultada na internet não devem possuir autoridade para redefinir as regras de funcionamento de um assistente de IA.
O phishing está mudando com a adoção de inteligência artificial
A pesquisa da Barracuda chama atenção para uma mudança na superfície de ataque das organizações.
O crescimento do uso de assistentes de IA criou uma nova etapa entre o recebimento de informações e sua utilização pelos funcionários. Mensagens que antes seriam lidas diretamente por uma pessoa agora podem ser filtradas, resumidas ou interpretadas por sistemas automatizados.
Os criminosos procuram explorar essa etapa para fazer com que instruções fraudulentas sejam incorporadas a respostas aparentemente confiáveis.
O risco torna-se especialmente relevante quando essas respostas influenciam pagamentos, decisões administrativas, atendimento a clientes ou atividades de desenvolvimento.
Para as empresas, a questão não se limita a identificar mensagens suspeitas. É preciso compreender como as ferramentas de IA lidam com conteúdo não confiável e impedir que informações recebidas de terceiros sejam transformadas em comandos operacionais.
A campanha analisada demonstra que uma única mensagem pode combinar diferentes métodos de exploração: engenharia social para convencer o destinatário e instruções ocultas para manipular o assistente que deveria ajudá-lo.
Com a expansão dos agentes de IA nos ambientes corporativos, a segurança do e-mail passa a depender também da proteção dos sistemas que interpretam seu conteúdo.
