O avanço de stacks RAG com componentes livres e auto-hospedáveis trouxe ganhos importantes de flexibilidade, custo e controle. Mas também expôs um problema estrutural: quando o modelo recebe instruções e conteúdo recuperado no mesmo fluxo, ele não distingue com precisão o que é comando e o que é dado. É aí que o prompt injection entra como uma das ameaças mais relevantes para aplicações baseadas em IA generativa.
Na prática, o risco não está apenas em ataques sofisticados. Muitas tentativas usam padrões repetitivos e até previsíveis, como pedidos explícitos para ignorar instruções anteriores, revelar o prompt do sistema ou executar ações fora do escopo. Isso torna tentador criar barreiras com regras simples, inclusive expressões regulares. O problema é que esse tipo de defesa costuma funcionar apenas contra a superfície mais óbvia do ataque.
Regex ajuda, mas não fecha a porta
O estudo apresentado na notícia mostra exatamente esse limite. Um conjunto pequeno de regexes consegue barrar boa parte das tentativas mais comuns, mas a proteção cai drasticamente quando o texto é levemente alterado, como na troca de letras latinas por caracteres cirílicos visualmente parecidos. Em outras palavras, a intenção maliciosa continua lá, mas o filtro deixa de reconhecer o padrão.
Esse comportamento revela uma falha clássica de abordagens baseadas apenas em correspondência textual: elas dependem da forma, não do significado. Em ambientes de IA, porém, o atacante não precisa preservar a forma original. Pequenas variações, sinônimos, espaçamento diferente ou caracteres homoglíficos podem ser suficientes para contornar a defesa.
“A máquina não sabe, por arquitetura, o que é instrução e o que é citação. Tudo chega como uma única sequência de tokens.”
Por isso, em aplicações RAG, segurança não pode ser tratada como um filtro na entrada e pronto. É necessário pensar em camadas: validação do conteúdo recuperado, isolamento entre contexto do sistema e dados externos, políticas de saída, checagens de intenção e, sempre que possível, mecanismos adicionais de classificação semântica. A proteção precisa acompanhar a lógica do ataque, e não só o texto literal.
O que isso significa para projetos com IA
Para times que estão colocando agentes e buscadores semânticos em produção, a principal lição é simples: depender exclusivamente de regras fixas cria uma falsa sensação de segurança. Em muitos casos, regexes são úteis como primeira triagem, mas devem ser apenas uma das camadas de defesa. Se o sistema consome conteúdo de terceiros, indexa documentos externos ou permite que o modelo execute instruções com base em texto recuperado, o risco de injeção é real.
Isso se torna ainda mais sensível em fluxos que integram atendimento, automação, busca corporativa e geração de respostas para usuários internos ou clientes. Um ataque bem-sucedido pode levar o modelo a vazar dados, ignorar políticas, executar ações indevidas ou produzir respostas erradas com aparência de confiança. A governança técnica precisa ser desenhada desde o início do projeto.
Na WK Technology, apoiamos empresas que precisam estruturar soluções de IA com mais segurança, desempenho e previsibilidade, seja em desenvolvimento sob medida, consultoria técnica ou composição de squads especializados. Se o seu projeto envolve RAG, agentes ou automações com LLMs, fale com nosso time para avaliar a melhor arquitetura e reduzir riscos desde a base.