O que é prompt injection indireto e por que o Google destaca a resistência do Gemini 4 Argon a esse ataque?

O ataque mais perigoso contra um agente de IA não vem do chat

Vem do conteúdo que ele lê 👀

Fala aí, beleza? O Google acabou de anunciar o Gemini 4 Argon e, no meio de tudo que dava pra destacar, colocou uma coisa bem no centro da divulgação: a resistência a prompt injection indireto

E isso não é por acaso…

Neste post te conto o que é esse ataque, onde ele aparece no dia a dia (documentos, páginas, e-mails) e por que ele virou critério de escolha de modelo quando o assunto é workflow agentivo

Bora?

Prompt injection direto x indireto: qual é a diferença?

No prompt injection direto, quem digita a instrução maliciosa é o próprio usuário, ali no chat

Aquele clássico ‘ignore todas as instruções anteriores e…’ haha

No indireto a história muda bastante

A OWASP define assim, no item LLM01 do Top 10 para aplicações com LLM de 2025: a injeção indireta acontece quando o modelo aceita entrada de fontes externas, como sites ou arquivos, e esse conteúdo, ao ser interpretado, altera o comportamento dele de forma não intencional ou inesperada

Ou seja: a instrução não está na conversa, está no conteúdo que o agente consome depois

Por que isso muda o modelo de ameaça?

Porque o atacante nem precisa interagir com o chat da vítima

Ele só esconde a instrução numa página, num arquivo, num e-mail… e espera algum agente passar por ali 😛

A vítima não faz nada suspeito, ela só pede pra IA resumir um e-mail ou buscar um documento

Pensa assim: é como deixar um bilhete dentro de uma pasta que o estagiário vai abrir, escrito ‘manda uma cópia disso pra mim’

Se o estagiário obedece QUALQUER bilhete que encontra, o problema não está em quem deu a tarefa original, está em quem escreveu o bilhete e na falta de filtro de quem leu

Onde o prompt injection indireto aparece: documentos, páginas e e-mails

A lista de superfícies é grandinha, então separei por tipo de fluxo pra tu reconhecer o teu próprio workflow

Navegação e conteúdo web

• Páginas web e HTML oculto
• Comentários e texto invisível
• Conteúdo multimodal, como imagens com texto

Se o teu agente navega, pesquisa ou lê página, cada site é uma porta de entrada

Caixa de entrada e documentos de escritório

• E-mails
• PDFs e documentos de escritório
• Documentos compartilhados
• Tickets de suporte

Aqui mora o cenário clássico: alguém de fora manda um conteúdo e a IA de dentro lê achando que é só texto

Código e ferramentas de dev

• Repositórios de código e arquivos README
• Arquivos de configuração
• Saídas de ferramentas

Se liga nisso se tu usa agente de código: um README de dependência ou a saída de um comando também é conteúdo externo, e o agente lê tudo isso sem pestanejar

Base de conhecimento e dados

• Registros de banco de dados
• Trechos de base de conhecimento de RAG

RAG é traiçoeiro porque o trecho chega ‘mastigado’ no contexto, com cara de informação confiável da empresa

Casos reais de injeção indireta no ecossistema Gemini

Pra mostrar que isso não é teoria, três casos que já foram publicados envolvendo o próprio Gemini

Importante: aqui eles servem só como exemplo de COMO o ataque aparece, não como retrato do estado atual dessas falhas

E-mail com instrução oculta no Gemini for Workspace

Era possível esconder instruções maliciosas dentro de um e-mail

Quando o destinatário clicava em ‘Summarize this email’, o Gemini seguia o prompt escondido e podia acrescentar avisos de phishing que pareciam vir do próprio Google

Perceba a maldade: o usuário fez a coisa certa (pediu um resumo) e recebeu um golpe com selo de confiança 😬

Inclusive, se você prefere nem ter esse tipo de recurso rodando na sua conta, dá pra desativar o Gemini no Gmail

Convite de agenda que vazava dados de reunião

Outra vulnerabilidade permitia contornar os controles de privacidade da agenda e exfiltrar dados de reuniões

O ataque usava prompts embutidos na descrição de convites, que o Gemini executava depois

Um convite de calendário! Ninguém olha descrição de convite desconfiado, né?

GeminiJack: zero-click via documentos compartilhados

O GeminiJack foi uma vulnerabilidade zero-click

Que zero-click? É quando a vítima não precisa clicar em nada pra ser atacada

Instruções escondidas em documentos compartilhados eram recuperadas e executadas pelo Gemini durante buscas comuns, vazando dados corporativos

A pessoa só pesquisava algo no trabalho e pronto, o ataque rodava sozinho

Por que resistência a prompt injection importa em workflows agentivos?

Agente não é chat

Ele lê e-mails, documentos, repositórios e saídas de ferramentas por conta própria, muitas vezes sem você revisar cada coisa que entrou no contexto

Então cada fonte externa que o agente consome é uma porta de entrada

E quanto mais autonomia (mandar e-mail, mexer em arquivo, chamar API), maior o estrago se ele obedecer o bilhete errado

Só o modelo resolve?

Não, e o próprio Google deixa isso claro

No blog de segurança do Google, a empresa descreve uma defesa em camadas contra prompt injection, com medidas pra cada etapa do ciclo do prompt:

• Endurecimento (hardening) do próprio modelo
• Modelos de machine learning que detectam instruções maliciosas
• Salvaguardas no nível do sistema

Ou seja: a robustez do modelo é UMA das camadas, não a única

Mas é a camada que você escolhe quando escolhe o modelo, por isso entra na decisão

Gemini 4 Argon no benchmark Gray Swan IPI: como ele se compara

O Gray Swan IPI (Indirect Prompt Injection) mede a taxa de sucesso de instruções maliciosas escondidas no conteúdo que a IA lê, em 15 tentativas

E aqui é o contrário de nota de prova: quanto MENOR a taxa, mais resistente é o modelo

Segundo o Google, o Gemini 4 Argon lidera em robustez contra prompt injection nesse benchmark, e o placar vivo da Gray Swan em outubro de 2026 mostra isso:

Como é placar vivo, os números podem mudar com o tempo, então vale conferir a página antes de decidir algo

O GPT-6 Astra aparece em 8,5%, e se você quer ir mais fundo nesse modelo, já falei sobre prompt injection no GPT-6 Astra e o que isso significa pra agente que lê arquivo e issue

Como o Google chegou nesse resultado?

O Google atribui o desempenho do Argon a red teaming automatizado e treinamento adversarial

Red teaming é basicamente atacar o próprio sistema de propósito pra achar as brechas antes dos outros, e o treinamento adversarial usa esses ataques pra ensinar o modelo a não cair neles

O que o resultado do Gemini 4 Argon significa (e o que não significa)

Bora pra leitura honesta

A distância entre o topo da tabela é pequena: 0,7% do Argon contra 1,0% dos dois Claude

O abismo de verdade está lá embaixo, com o Grok 4.6 (51,8%) e o Kimi K3 (52,7%), onde o ataque funciona mais ou menos uma vez a cada duas tentativas

Então o recado mais útil do placar nem é ‘quem ganhou’, é ‘quem está num patamar completamente diferente’

Taxa baixa não é taxa zero

0,7% ainda é maior que zero

Num agente que lê centenas de documentos, uma brecha rara ainda pode acontecer, por isso as camadas de sistema (filtros, permissões, revisão de ação sensível) continuam necessárias

Modelo resistente reduz o risco, não aposenta o resto da defesa

É um resultado divulgado pelo Google

O destaque vem do anúncio do próprio Google, apoiado no placar da Gray Swan

Não rodei teste próprio aqui no blog, então trate como dado de benchmark e não como garantia de comportamento no seu fluxo

Quem pode usar o Gemini 4 Argon agora?

Calma que ainda não está no seu app haha

O acesso inicial é restrito a um grupo de defensores cibernéticos de confiança, pelo Fairwind Program, que tem mais de 650 parceiros

Não é lançamento geral pra quem usa o app Gemini

A liberação posterior começa por clientes pagos da API e assinantes do Google AI Ultra

O que o Google diz que está fazendo antes de abrir?

Antes da disponibilidade ampla, o Google afirma estar reforçando as salvaguardas contra:

• Mau uso cibernético e CBRN
• Ataques de prompt injection indireto
• Desalinhamento do modelo
• Ambientes de agentes inseguros

Repara que prompt injection indireto aparece de novo na lista, o tema é central mesmo

E o resto do lançamento?

Como contexto, o limite de tokens de saída sobe de 64 mil para 1 milhão no Gemini 4 Argon

Isso conversa com a proposta de tarefas mais longas, e tarefa longa de agente significa ler MUITO conteúdo externo… o que reforça por que a resistência a injeção importa tanto aqui

Conclusão: resistência a prompt injection como critério de escolha de modelo

Recapitulando: prompt injection indireto é a instrução maliciosa escondida no conteúdo que o agente lê, e a vítima não precisa fazer nada de errado pra cair

Os casos no próprio ecossistema Gemini mostram que e-mail, convite de agenda e documento compartilhado já foram usados como vetor

Por isso, ao escolher modelo pra um agente que lê conteúdo externo, olhe a robustez a injeção indireta ao lado de custo e qualidade

E o próximo passo prático é simples:

1. Pegue a seção de superfícies deste post e use como checklist do seu workflow
2. Marque quais fontes externas o seu agente realmente consome (páginas, e-mails, docs, README, saídas de ferramentas, RAG)
3. Para cada uma, pergunte: quem de fora consegue escrever conteúdo ali?
4. Acompanhe o placar do Gray Swan IPI, porque ele é vivo e muda

Modelo resistente ajuda MUITO, mas quem fecha a porta de verdade é o desenho do seu sistema 😉

Até o próximo post!