Um agente de IA vazou dados privados, letra por letra.
Aconteceu assim: um pesquisador de segurança demonstrou como um agente com acesso à internet pode ser induzido a revelar a própria memória para um atacante, sem nunca “enviar” nada no sentido óbvio da palavra. O caso ficou conhecido como “Memory Heist”.
O mecanismo é simples de descrever e desconfortável de aceitar. Uma página envenenada esconde instruções que o agente lê como se fossem suas. Essas instruções mandam o agente acessar um domínio malicioso em pedacinhos, evil.com/a, depois /ab, depois /abc, cada chamada soletrando mais um caractere da memória dele. Pouco mais de duas dezenas de acessos ao todo, poucos por minuto. Devagar o suficiente para passar por navegação comum. O servidor do atacante nunca recebe um arquivo. Ele só olha o próprio log de acesso e remonta os dados, um caractere de cada vez.
Isso é possível porque três coisas convivem no mesmo agente: acesso aos seus dados privados, exposição a conteúdo que ele não deveria obedecer cegamente, e uma ferramenta capaz de mandar informação para fora. A comunidade de segurança de IA já deu nome a essa combinação, tríade letal. Qualquer agente com acesso à web pode carregar as três ao mesmo tempo, e a maioria audita só a primeira, o que o agente sabe fazer. Poucos auditam a terceira, para onde ele pode mandar o que sabe.
A defesa que funciona não tenta detectar a injeção. Detectar é uma batalha impossível de vencer, porque para o modelo, texto é texto, veio de você ou de um atacante. A defesa que funciona quebra uma perna da tríade direto na arquitetura, controlando os canais de saída, não as leituras. Toda ação de saída passa por um único ponto de controle que faz uma pergunta, este destino sou eu, meu próprio canal verificado? Se sim, permite. Se não, confirma ou nega. Numa camada extra, um limite de rajada por domínio, poucos acessos por minuto ao mesmo domínio, mata o gotejamento sem afetar a navegação normal, que toca muitos domínios diferentes, nunca o mesmo domínio repetidas vezes.
Monto sistemas de IA para empresas, e esse é exatamente o tipo de risco que mora na arquitetura, não na ferramenta. Por isso condensei o briefing inteiro numa apresentação, e num prompt de auditoria em português que cola direto no seu próprio agente, pede para ele investigar a própria arquitetura com as perguntas certas, e relatar o que encontrar.
Seu agente já sabe ser útil. Falta ele aprender a dizer não.