Os criminosos que fazem phishing já não tentam enganar só as pessoas. Querem também manipular o assistente de inteligência artificial que lê o correio eletrónico por elas. A equipa Barracuda Research documentou campanhas em que um único email traz duas armadilhas: um anexo protegido por palavra-passe para o destinatário e instruções escondidas para a IA que resume, ordena ou trata a caixa de entrada. Os humanos são alvo de engenharia social, como anexos protegidos por palavra-passe, e os assistentes de IA são alvo de injeções de prompt pensadas para influenciar ou contornar o comportamento do utilizador. A Malwarebytes voltou ao tema esta semana e resumiu o risco assim: se usa um assistente de IA para resumir a caixa de entrada, instruções escondidas podem transformar um email de phishing que ignorou na sua próxima tarefa.
Resposta rápida: A Barracuda encontrou emails de phishing com dois alvos. O utilizador recebe um anexo cifrado com a palavra-passe no próprio texto. O assistente de IA recebe instruções invisíveis que o levam a apresentar a mensagem como legítima ou urgente, ou a acrescentar ações falsas, como alterar os dados bancários de um fornecedor. Trate os resumos feitos por IA como sugestões e não como ordens. Confirme por outro canal qualquer pedido de pagamento e limite o que os assistentes podem fazer sozinhos.
Uma mensagem, duas camadas
Segundo a análise da Barracuda, assinada pelo analista Guruprasad Kenja, estes emails têm várias camadas. Uma camada contém o texto e as imagens que o destinatário vê. Outra transporta instruções maliciosas escondidas, conhecidas como injeção de prompt, dirigidas ao assistente de IA.
A camada visível recorre a um truque conhecido. A mensagem parece rotineira e inclui um documento anexo protegido por palavra-passe, que é convenientemente indicada no corpo do email — uma tática que cria um ponto cego para os controlos tradicionais de segurança do correio eletrónico. Como o ficheiro está cifrado, os filtros não conseguem analisar o conteúdo. Se o utilizador abrir o anexo com a palavra-passe fornecida, o ataque avança para o roubo de credenciais ou a entrega de malware.
A novidade está no plano B. Se o utilizador ignorar o email, o atacante pode contar com a injeção de prompt escondida na segunda camada. De acordo com a Malwarebytes, as instruções maliciosas podem tentar que o assistente descreva o email como legítimo ou urgente, incentivando o utilizador a voltar a ele.
Segundo a Barracuda, várias características ajudaram o email de exemplo a passar pelos filtros de reputação. O remetente e o destinatário eram o mesmo endereço, a mensagem tinha uma pontuação de spam considerada fiável e vinha de um domínio do setor público. A empresa não identificou esse domínio.
Como se escondem as instruções
Em termos técnicos, trata-se de injeção indireta de prompt, a categoria que o OWASP coloca em primeiro lugar entre os riscos de aplicações com modelos de linguagem (LLM01:2025). As injeções indiretas acontecem quando um LLM aceita conteúdo de fontes externas, como sites ou ficheiros, e esse conteúdo, ao ser interpretado pelo modelo, altera o seu comportamento de forma imprevista. O OWASP sublinha ainda que estas injeções não precisam de ser visíveis ou legíveis para humanos, desde que o texto seja processado pelo LLM.
A Barracuda identificou várias técnicas de ocultação: comentários no código HTML do email, texto tornado invisível por estilos, conteúdo codificado e caracteres invisíveis de “largura zero”.
| Técnica | Como funciona | O que pode ser verificado |
|---|---|---|
| Comentários HTML | Texto dentro de <!-- -->, que o cliente de email não mostra | Comentários longos com frases dirigidas a “assistentes” ou “IA” |
| Texto invisível por CSS | Estilos como font-size:0px, cor branca sobre fundo branco ou display:none | Blocos com tamanho zero ou cor igual à do fundo |
| Conteúdo codificado | Instruções em Base64 que o modelo consegue descodificar | Blocos Base64 sem justificação no corpo da mensagem |
| Caracteres de largura zero | Caracteres Unicode invisíveis, como U+200B, intercalados no texto | Densidade anómala de caracteres não imprimíveis |
O que as instruções pedem à IA
Os exemplos publicados mostram que o objetivo vai além de fazer o email parecer inofensivo. Num dos casos, foi acrescentada uma falsa ação de alta prioridade que manda um funcionário atualizar os dados de pagamento de um fornecedor, o que aumenta a probabilidade de um pagamento fraudulento. A Malwarebytes nota a subtileza: o atacante não pede simplesmente à IA que repita um pedido fraudulento, tenta transformar esse pedido numa recomendação do próprio assistente.
Outros exemplos referidos pela Barracuda:
- Triagem de currículos: instruções escondidas para que a IA dê nota máxima a um candidato e recomende uma entrevista, independentemente das qualificações.
- Bots e assistentes internos: ordens para o assistente mudar para um modo de manutenção ou administração autorizado e revelar a sua configuração.
- Assistentes de programação: instruções para inserir código que rouba credenciais sempre que forem geradas funções de autenticação.
A Barracuda não revelou o número de mensagens nem de organizações atingidas. Também não publicou indicadores de comprometimento (IOCs) operacionais, como domínios ou hashes. Os endereços que aparecem nos excertos de código da análise são ilustrativos e não servem para bloqueio.
Um risco já demonstrado antes
O email como porta de entrada para manipular assistentes de IA já tinha sido demonstrado. Em junho de 2025, investigadores da Aim Security divulgaram a falha EchoLeak no Microsoft 365 Copilot. O Microsoft Security Response Center classificou-a como crítica (CVSS 9.3) e descreveu-a como “injeção de comandos de IA no M365 Copilot”. Bastava um email preparado, sem qualquer interação do utilizador, para levar o Copilot a aceder a ficheiros internos e enviar o conteúdo para um servidor controlado pelo atacante. A Microsoft aplicou correções do lado do servidor e não há provas de exploração real.
| Data | Acontecimento |
|---|---|
| junho de 2025 | Divulgação da EchoLeak (CVE-2025-32711, CVSS 9.3) no Microsoft 365 Copilot, já corrigida |
| 7 de outubro de 2026 | A Barracuda Research publica a análise dos emails com dois alvos |
| 12 de outubro de 2026 | A Malwarebytes publica conselhos para utilizadores de assistentes que resumem email |
A diferença está no ponto de partida. A EchoLeak era uma vulnerabilidade concreta num produto. O caso descrito pela Barracuda é uma técnica de ataque observada em campanhas reais, que não depende de nenhuma falha de software e pode visar qualquer assistente que leia correio sem separar o conteúdo externo das instruções legítimas.
Como se proteger
Kenja resume a mudança: “à medida que os assistentes de IA se integram nos fluxos de trabalho diários, as organizações têm de proteger não só os utilizadores e as caixas de correio, mas também os sistemas de IA que consomem e agem sobre os dados do email.” Medidas práticas:
- Desconfie das “prioridades” sugeridas pela IA. Se o resumo destacar um email que não reconhece, abra o original e verifique o remetente real.
- Confirme pagamentos por outro canal. Qualquer alteração de IBAN ou de dados de fornecedor deve ser validada por telefone, com um contacto já conhecido, e nunca com os dados indicados na mensagem.
- Trate os anexos cifrados com a palavra-passe no texto como suspeitos. Considere colocá-los em quarentena ou analisá-los em ambiente isolado.
- Limite o que os assistentes podem fazer. Dê-lhes o mínimo de privilégios, impeça o reencaminhamento e as ligações externas automáticas e exija aprovação humana para ações sensíveis.
- Filtre antes de a IA ler. Gateways e soluções de segurança podem retirar comentários HTML, texto invisível e caracteres de largura zero antes de o conteúdo chegar ao modelo.
- Atualize a formação. Os programas de sensibilização devem incluir este cenário: o assistente também pode ser enganado.
Porque é que isto importa em Portugal
Muitas PME e organizações públicas portuguesas estão a adotar assistentes integrados no Microsoft 365, no Google Workspace e em clientes de email com IA. A fraude com alteração de dados bancários de fornecedores (BEC) já é das mais caras para as empresas. Um assistente que lhe dá credibilidade aumenta esse risco.
Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de riscos tem de incluir as ferramentas de IA ligadas ao correio eletrónico e aos processos de pagamento. Isto implica controlos de acesso, supervisão humana e notificação de incidentes significativos ao CNCS/CERT.PT. Se um assistente for manipulado para reencaminhar ou expor dados pessoais, pode haver uma violação de dados com obrigações perante a CNPD ao abrigo do RGPD. No dia a dia, a regra é a mesma para todos: a IA pode ajudar a ler, mas a decisão final continua a ser humana.
Perguntas frequentes
O que é injeção indireta de prompt?
É a inserção de instruções maliciosas em conteúdo externo, como um email, uma página web ou um documento, que um assistente de IA vai ler. O objetivo é que o modelo siga essas instruções em vez de as tratar apenas como texto a analisar.
Posso ver as instruções escondidas no email?
Normalmente, não. Estão em comentários HTML, texto de tamanho zero ou da cor do fundo, blocos codificados ou caracteres invisíveis. Ver o código-fonte da mensagem pode revelá-las, mas a proteção deve vir sobretudo dos filtros de email e da configuração dos assistentes.
Devo deixar de usar assistentes de IA no email?
Não é necessário. Mas deve tratar os resumos e as recomendações como sugestões, verificar o email original antes de agir e confirmar por outro canal qualquer pedido de pagamento ou de alteração de dados bancários.
O que devem fazer as empresas abrangidas pela NIS2?
Devem incluir os assistentes de IA na avaliação de riscos, limitar as permissões, exigir aprovação humana para ações sensíveis, formar os colaboradores e notificar ao CNCS os incidentes significativos, nos termos do Decreto-Lei n.º 125/2025.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Barracuda Research, pela Malwarebytes, pelo OWASP GenAI Security Project e pela Microsoft.