A tríade letal: três coisas banais que, juntas, vazam seu dado

Marina é designer freelancer e conecta um agente de inteligência artificial (programa que não só responde, também age: lê, escreve, envia, decide sozinho) ao e-mail e ao calendário do próprio negócio. Ele lê o que cada cliente manda, organiza a agenda e responde sozinho. Funciona bem, semana após semana, até o dia em que chega um pedido de orçamento com uma frase estranha escondida no meio do texto, pedindo pra reencaminhar os últimos contratos fechados pra um endereço qualquer. O agente lê aquela frase do mesmo jeito que lê o resto, como texto, e obedece. Marina não fez nada errado. O agente também não tinha motivo pra desconfiar: ele só fez o que o texto pedia.

Isso tem explicação, e ela está nas condições que tornaram esse desfecho possível, não numa falha pontual do sistema dela. Existem três coisas que, reunidas na mesma tarefa, tornam esse tipo de vazamento possível sempre, em qualquer agente: ele precisa ter acesso a dado privado seu, precisa ler conteúdo que alguém de fora escreveu (e-mail, página da web, PDF anexado) e precisa ter algum jeito de mandar informação pra fora, seja uma requisição de rede, um e-mail enviado ou um formulário preenchido. O pesquisador de segurança Simon Willison batizou essa combinação em 2025, num texto chamado “The Lethal Trifecta” (a tríade letal).

Reúna as três, e ninguém de fora precisa fazer força nenhuma. Basta escrever uma instrução dentro de um conteúdo que o seu agente vai ler mais cedo ou mais tarde. Um modelo de linguagem não separa “isto é ordem de quem me criou” de “isto é texto que estou lendo agora”: as duas coisas chegam como a mesma coisa, texto corrido. O agente age usando as próprias credenciais dele, e nenhum sistema de monitoramento marca aquilo como anômalo, porque tecnicamente é o dono da conta agindo.

A saída não é ensinar o modelo a desconfiar melhor. É tirar dele o poder de decidir sozinho o que sai. A regra cabe numa frase: instrução é pedido, permissão é trilho. Se algo precisa valer sempre, sem exceção, esse algo não pode morar dentro do texto que você escreve pro agente. Tem que morar em algo que o próprio agente não consiga reescrever nem seja convencido a ignorar, uma trava que roda por fora do modelo. Foi esse o raciocínio por trás da arquitetura de segurança que a Meta descreveu ao lançar o Muse, um agente pessoal, em setembro de 2026 (é a versão da própria fabricante, sem auditoria externa concluída até aqui, mas o raciocínio de engenharia vale além desse produto específico).

Na prática, isso vira três perguntas de arquiteto, que substituem a pergunta inútil “essa IA é confiável?” antes de você ligar qualquer agente numa conta de verdade.

Quem detém a permissão, o modelo ou algo fora dele? Se a regra existe só como frase no prompt, ela é pedido, não trava, e pedido é cumprido na maioria das vezes, o que não basta pra segurança.

O agente segura o segredo na mão? Se sim, uma instrução bem colocada consegue arrancar dele. Senha e token deveriam entrar só depois de autorizados, nunca antes disso.

No pior caso, dá pra estancar? Escopo só de leitura, limite de valor, janela de tempo curta e lista fechada de destinos são respostas de verdade. “Confia na gente” não é.

Marina não precisava de equipe de segurança pra evitar aquilo. Precisava ter perguntado, antes de ligar o agente numa conta real, onde morava a permissão. Se a resposta é “no que eu escrevi pro robô”, ainda não existe controle nenhum, só uma instrução com boa taxa de obediência.