Estudo revela que agentes de IA em criptomoedas são vulneráveis a ataques de injeção de prompt

À medida que agentes de IA — bots autônomos capazes de navegar, pesquisar, comprar e até negociar cripto — passam dos laboratórios para sistemas do mundo real, pesquisadores alertam que um problema complexo persiste: ataques de injeção de prompt. Uma equipe multicêntrica da Universidade Tecnológica de Nanyang, ST Engineering, IBM Research e Universidade de Illinois Urbana-Champaign relata que os agentes atuais permanecem altamente suscetíveis a esses ataques, sem nenhuma configuração testada mostrando resistência consistente. O que são injeções de prompt? - A injeção de prompt ocorre quando um atacante esconde instruções dentro de conteúdo que um agente lê (páginas da web, links ou outros documentos). O agente pode então seguir as direções ocultas do atacante em vez da intenção do usuário — um risco claro quando agentes são autorizados a agir autonomamente em tarefas financeiras, como executar negociações ou interagir com carteiras e exchanges. O que o estudo fez - Para avaliar melhor o risco no mundo real, os pesquisadores criaram o StakeBench, um benchmark que testa agentes de IA contra injeções de prompt em ambientes online realistas. O StakeBench foca no que a equipe chama de Injeção Indireta de Prompt — o canal relevante para implantação onde instruções maliciosas são incorporadas no ambiente encontrado pelo agente. - O StakeBench analisa três fatores-chave que alteram o impacto do ataque: 1. Distância semântica entre o objetivo injetado e a intenção original do usuário (o quão similar ou diferente é o objetivo oculto). 2. Consistência das pistas ambientais circundantes (se o conteúdo injetado se encaixa naturalmente na página ou fonte). 3. Quando, ao longo da trajetória de execução do agente, ele encontra pela primeira vez o conteúdo injetado. O que eles testaram - A equipe executou 3.168 ataques simulados usando dois frameworks de agentes (NanoBrowser e BrowserUse) combinados com GPT-5 e Gemini 2.5-Flash. Principais descobertas - Ataques de injeção direta de prompt tiveram sucesso mais de 79% das vezes em todos os setups testados. - As taxas de sucesso de injeção indireta de prompt variaram de 41,67% a 68,16%, dependendo do contexto e dos três fatores acima. - Os pesquisadores destacam um fenômeno que chamam de “parasitismo furtivo”, no qual o agente ainda executa a tarefa solicitada pelo usuário, mas simultaneamente avança o objetivo do atacante — por exemplo, sutilmente direcionando recomendações. Em cenários cripto, isso poderia significar incentivar um investidor a adquirir um token específico ou executar negociações que beneficiem o atacante sem sinais óbvios de comprometimento. Por que isso importa para cripto - Agentes autônomos são cada vez mais usados para analisar dados de mercado, executar negociações, gerenciar carteiras e interagir com protocolos DeFi. Vunerabilidades de injeção de prompt criam, portanto, superfícies de ataque claras: desde recomendações enviesadas de tokens e reposicionamento manipulado de carteiras até vazamento de credenciais ou transações não autorizadas. - Os pesquisadores enfatizam que o risco de injeção de prompt é “dependente da vítima”: o mesmo exploit pode ter consequências muito diferentes dependendo de quem ou do que o agente está agindo, e o impacto é moldado pelo alinhamento semântico e pela arquitetura do sistema — não apenas pelo modelo de linguagem subjacente. Contexto e incidentes anteriores - O estudo segue uma série de divulgações no mundo real: a Microsoft alertou em fevereiro sobre instruções ocultas em links de resumos de IA; o Google descreveu injeções de prompt em páginas da web tentando fazer agentes vazarem credenciais ou enviarem pagamentos em abril; e a Microsoft recentemente divulgou uma falha de injeção de prompt na GitHub Action do Claude Code da Anthropic que poderia ter exposto credenciais de usuários. Conclusão - A segurança contra injeção de prompt não é uma única propriedade do modelo, mas uma distribuição multidimensional de dano influenciada por partes interessadas, alinhamento de tarefas e contexto de implantação. Para plataformas e traders cripto que dependem de agentes autônomos, a pesquisa é um alerta: avaliações rigorosas, contextualmente conscientes (como o StakeBench) e defesas mais robustas são necessárias antes de entregar a esses agentes controle sobre fundos ou credenciais de carteira.