Em junho de 2025, pesquisadores da empresa de segurança Aim Security revelaram uma falha no assistente de IA da Microsoft usado dentro do Word, do Excel, do Outlook e do Teams. Batizada de EchoLeak, ela permitia roubar dados internos de uma empresa com um único e-mail — sem a vítima clicar em nada, sem abrir anexo, sem digitar comando algum.
O mecanismo é mais simples e mais preocupante do que um vírus tradicional. O e-mail não carregava um programa malicioso. Carregava um texto escrito para parecer uma instrução legítima, que o assistente lia junto com o resto do conteúdo — e obedecia como se tivesse vindo da própria empresa.
Esse tipo de ataque tem nome técnico: injeção indireta de instruções. E, segundo o órgão de cibersegurança do governo britânico, é um problema estrutural que empresas vão precisar administrar por muito tempo, não um bug isolado que alguém vai corrigir de vez.
A diferença para uma falha de segurança comum é sutil, mas importa. Um vírus explora um erro de programação que, uma vez encontrado, pode ser corrigido e fechado. Uma instrução escondida dentro de um texto explora a própria forma como um assistente de IA funciona: ele lê tudo o que recebe — e-mail, página, documento, planilha — como uma sequência única de palavras, sem uma fronteira nítida entre "isto é informação" e "isto é ordem". Fechar esse tipo de brecha para sempre exigiria mudar essa característica de raiz, não apenas aplicar uma correção pontual.
O caso que expôs o risco
A falha recebeu o identificador CVE-2025-32711 e nota máxima de gravidade em praticamente todas as escalas usadas pelo mercado. O ataque explorava uma característica do assistente da Microsoft: ele buscava automaticamente informação relevante dentro dos documentos e conversas da empresa para responder com mais precisão.
O problema é que esse mesmo mecanismo não sabia diferenciar um documento legítimo de um texto plantado por um estranho. Bastava um e-mail chegar à caixa de entrada — sem ser aberto — para que o conteúdo malicioso entrasse na base que o assistente consultava e virasse, na prática, uma ordem interna.
Segundo a Aim Security, a falha permitiria extrair automaticamente as informações mais sensíveis do ambiente corporativo do assistente, sem qualquer interação da vítima. O alcance potencial incluía histórico de conversas, arquivos armazenados na nuvem da empresa, conteúdo de páginas internas de colaboração e mensagens de equipe — tudo o que o assistente já tinha permissão para consultar em nome de um usuário legítimo.
A Microsoft confirmou o problema, aplicou a correção do lado do servidor e afirmou não ter encontrado evidência de exploração real antes do reparo. Mas o alerta ficou: um texto pode se disfarçar de comando, e o assistente não tem como saber a diferença sozinho. O que salvou a situação, neste caso, não foi o assistente ter percebido o engano — foi um pesquisador ter encontrado a brecha antes de um atacante real.
Por que filtrar frases suspeitas não resolve
A reação mais comum a um caso como o EchoLeak é tentar bloquear palavras ou padrões de texto perigosos antes que cheguem ao assistente. O órgão de cibersegurança do Reino Unido descreve por que essa abordagem tem limite: por baixo do capô, um assistente de IA não separa "isto é uma instrução" de "isto é apenas conteúdo para ler" — ele processa tudo junto, na mesma sequência. Não existe filtro de palavra que cubra as infinitas formas de reescrever uma mesma ordem disfarçada.
Pesquisadores da Brave mostraram até onde isso vai em assistentes que navegam sozinhos pela internet. Eles esconderam instruções dentro de imagens e em texto na cor branca sobre fundo branco — invisível para uma pessoa, perfeitamente legível para o assistente. Em testes, essas instruções escondidas fizeram o agente abrir a caixa de e-mail da vítima, extrair o assunto de mensagens e enviar essa informação para um endereço controlado pelo atacante.
Outros pesquisadores citados pela publicação The Register conseguiram manipular assistentes de navegação para ignorar o conteúdo real de um documento e responder com um texto pré-determinado, ou para mudar o modo de exibição da página sem que o usuário pedisse. O próprio responsável por segurança de uma das maiores empresas de IA do mundo admitiu publicamente que esse tipo de ataque continua sendo, nas palavras dele, "um problema de fronteira, ainda sem solução".
O que precisa existir na prática
Se filtrar texto não resolve, a defesa precisa vir de outro lugar: de limitar o que o agente pode fazer sozinho, mesmo quando ele já foi enganado.
Permissão mínima por função. Um agente que só responde perguntas sobre política interna não precisa ter acesso a enviar e-mail, mover dinheiro ou alterar cadastro. Quanto menor o raio de ação de cada agente, menor o estrago possível de uma instrução escondida que ele acabe obedecendo.
Parada obrigatória antes de uma ação sensível. Enviar um documento para fora da empresa, aprovar um pagamento, alterar uma permissão: esse tipo de ação não deveria acontecer só porque um texto qualquer pedeu. Ela deveria parar e esperar a confirmação de uma pessoa, dentro da própria conversa.
Credencial pessoal por ferramenta. Quando o agente usa a mesma senha compartilhada por toda a equipe para acessar um sistema, uma instrução escondida herda esse mesmo acesso genérico e sem dono. Com credencial pessoal, o que o agente pode fazer em nome de alguém fica limitado ao que aquela pessoa específica pode fazer.
Registro de tudo o que o agente tentou fazer. Mesmo quando a defesa funciona e a ação sensível é barrada, alguém precisa conseguir olhar depois e responder: o que esse agente tentou fazer, quando, e por causa de qual conteúdo. Sem essa trilha, uma tentativa de ataque some sem deixar rastro — mesmo quando não deu certo.
É assim que a Skyller foi desenhada: aprovação humana antes de ações sensíveis, acesso conforme o papel de cada pessoa e credencial pessoal por ferramenta, em vez de uma chave genérica compartilhada por todo mundo.
O que muda para quem usa no dia a dia
Para quem trabalha com o assistente todo dia, esses mecanismos não aparecem como burocracia extra — aparecem como uma parada pontual numa ação específica, não como aprovação de cada mensagem trocada. A grande maioria das perguntas e respostas do dia a dia segue fluindo sem interrupção; é só quando o agente está prestes a fazer algo que sai do próprio ambiente de conversa — mandar um e-mail, mexer num sistema, mover um arquivo — que a confirmação entra em cena.
Para a área de segurança, o ganho é outro: em vez de tentar adivinhar toda frase disfarçada que algum atacante pode inventar — tarefa impossível segundo o próprio órgão de cibersegurança britânico — a equipe passa a controlar o que realmente importa, que é o alcance de cada agente. Um agente com acesso limitado e ação sensível sob aprovação continua seguro mesmo no dia em que alguém, em algum lugar, tenta lhe passar uma ordem escondida num documento.
Essa mudança de foco muda também a conversa entre TI e liderança de negócio. Em vez de perguntar "como impedimos que alguém escreva uma instrução maliciosa" — pergunta sem resposta definitiva, como mostram tanto o caso do Copilot quanto os testes em assistentes de navegação —, a pergunta que se pode responder com segurança é "o que cada agente consegue fazer, mesmo se for enganado". É uma pergunta bem mais concreta, e bem mais fácil de auditar.
Perguntas para levar à próxima reunião de segurança
Antes de assumir que "isso não acontece aqui", vale confrontar o time técnico com perguntas concretas:
- Nossos agentes de IA têm acesso a mais sistemas do que a tarefa deles exige? Se a resposta for sim, cada sistema extra é uma porta a mais para uma instrução escondida explorar.
- Existe alguma ação que o agente executa sozinho, sem parar para confirmação humana, e que seria grave se fosse feita por engano? Enviar dado para fora, aprovar algo, mudar permissão — qualquer uma dessas merece parada obrigatória.
- Se um agente tentasse hoje uma ação suspeita, existe registro para investigar depois? Sem trilha de auditoria, nem uma tentativa barrada com sucesso vira aprendizado.
- Alguma ferramenta usada pelos agentes roda com login compartilhado entre a equipe? Se sim, é hora de trocar por credencial pessoal antes que vire o próximo caso citado num relatório de segurança.
