.webp){kind=small}
Um CISO que vê uma baixa contagem de CVEs e desprioriza a injeção imediata está interpretando o placar incorretamente. A injeção imediata ocupou o primeiro lugar no OWASP Top 10 para Aplicações de Gestão de Liderança em Ciência da Computação (LLM) por três anos consecutivos. Quando dois líderes dessa lista a compararam com 6.639 incidentes reais rotulados, ela caiu para a 12ª posição. A queda mede a visibilidade, e não o perigo, porque o ataque opera onde um scanner de vulnerabilidades não consegue detectá-lo.
Essa descoberta é de Kyriakos "Rock." Lambros e Steve Wilson, dois líderes do projeto OWASP Top 10 para Aplicações de LLM, que a publicaram no arXiv em 18 de agosto com a devida ressalva. A análise é exploratória, não foi revisada por pares e não é um lançamento oficial da OWASP. Os autores afirmam que ela não substitui a lista oficial ou seu processo.
A estrutura por trás disso é real: 7.714 incidentes de segurança de LLM (Large Learning and Machine Learning) provenientes do CVE, GitHub Security Advisories, OSV e do banco de dados AI-harm da AIAAIC, 6.639 dos quais foram classificados de acordo com uma taxonomia de 20 entradas, e um modelo Bayesiano que corrige cada contagem para erros de classificação antes de definir a classificação baseada em dados ao lado da avaliação dos especialistas.
A comparação não encontrou concordância estatisticamente significativa entre o julgamento dos especialistas e o registro público de incidentes. O coeficiente kappa de Cohen é de 0,20, com um intervalo de 90% variando de -0,16 a 0,57. "O intervalo cruza o zero, então não podemos descartar a possibilidade de que as duas classificações concordem apenas por acaso", escrevem os autores. "Em resumo: concordância fraca, não confirmação." Lambros, co-líder do OWASP GenAI Security Project Top 10 para aplicações de LLM e diretor de padrões e governança de IA na Zenity, apresentou a descoberta em termos de evidência em respostas escritas ao VentureBeat. "Tínhamos duas maneiras de medir o mesmo risco, o julgamento de especialistas e o registro público do incidente, e elas divergem entre si." Nenhuma delas representa a verdade", disse Lambros.
"Duas testemunhas estão se contradizendo e não podemos dizer qual delas está mentindo. A lacuna é estrutural. A injeção de prompts oculta instruções dentro do conteúdo que um modelo lê, seja uma entrada de log, um ticket de suporte ou um documento recuperado. O agente então faz a chamada de ferramenta que o atacante queria, usando credenciais que ele possui legitimamente. Nada nessa cadeia é um defeito do produto, portanto, o ataque não deixa nenhuma CVE para um scanner encontrar.
As defesas que o detectam são testes adversários contra o sistema implantado e limites rígidos no que o agente pode alcançar, de modo que um modelo enganado não possa acessar nada custoso. A mesma lógica argumenta a favor do financiamento da memória do agente e dos limites da ferramenta MCP agora, na arquitetura, em vez de esperar pelo volume de consultoria que sempre chegará com um ciclo de atraso.
O primeiro controle que Wilson implantaria
Wilson, Diretor de IA e Produto da Exabeam e co-líder do projeto OWASP Top 10 para Aplicações LLM, nomeou o controle que ele implantaria primeiro contra exatamente essa cadeia: um agente que lê um. A carga útil do atacante em um arquivo de log é tratada como uma instrução e o DNS é reescrito com uma credencial válida, em respostas escritas para o VentureBeat.
"A primeira coisa que eu faria seria colocar um portão de autorização fora do modelo: o agente pode propor a alteração exata do DNS, mas não pode se conceder a autoridade para fazê-la", disse Wilson. "Regras de segurança escritas dentro de prompts podem moldar o comportamento do modelo, mas ainda são sugestões para o modelo, não controles de segurança aplicáveis". O portão tem um preço, e Wilson o declara claramente. "A contrapartida é que o agente perde a capacidade de improvisar alterações arbitrárias e de alto impacto na infraestrutura por conta própria, enquanto mantém a investigação autônoma e a remediação rotineira e limitada."
Por que o risco número 1 parece pequeno no registro
A injeção de prompt é o ataque LLM mais bem compreendido, e os sistemas implantados se defendem ativamente contra ele", escrevem os autores, e condensam toda a divergência em uma única frase.
Especialistas classificam isso em primeiro lugar porque a superfície de ataque permanece enorme mesmo quando as defesas se mantêm firmes; os dados mostram os sucessos que conseguiram ultrapassar as defesas."
Wilson observou essa lacuna de ambos os lados. "Os dados de incidentes são incrivelmente valiosos, mas são inerentemente retrospectivos e notoriamente difíceis de interpretar", disse ele. "Eles nos dizem o que foi observado, reconhecido, classificado e relatado. "Não nos dizem necessariamente o que é mais perigoso nos sistemas que as pessoas estão construindo agora.
Ele compara a injeção imediata a "morte e impostos" e, cada vez mais, a "uma lei da física para sistemas LLM", porque um modelo está sendo solicitado a interpretar instruções confiáveis e conteúdo não confiável simultaneamente.
Melhores defesas não resolveram o problema. "Um controle que funciona em 99% dos casos não é suficiente quando a falha concede ao invasor acesso significativo. E, francamente, não acho que estejamos em 99%", disse Wilson. "A resposta duradoura não é acreditar que podemos eliminar completamente a injeção de prompts. É projetar sistemas partindo do pressuposto de que a injeção de prompts ocorrerá, entender por que ela funciona e limitar o que um invasor pode realizar quando isso acontece."
Um baixo número de alertas pode significar que as defesas estão funcionando. Pode igualmente significar que ninguém verificou e que o registro público não consegue dizer a uma equipe de segurança qual é o caso.
O volume de tentativas está documentado. O Relatório Global de Ameaças de 2026 da CrowdStrike descobriu que adversários injetaram prompts maliciosos em ferramentas GenAI legítimas em mais de 90 organizações em 2025, roubando credenciais e criptomoedas, em uma seção intitulada "Prompts são o Novo Malware." A telemetria mostra pressão na superfície de ataque sem provar que as defesas produziram a 12ª posição, mas é o padrão que o mecanismo prevê.
A lacuna também funciona na direção oposta, e ainda mais
A injeção de prompts é o caso mais divulgado, e a desinformação é o maior.
A votação dos especialistas coloca a desinformação em 13º lugar, enquanto o registro de incidentes a coloca em 2º. O artigo a classifica como "a maior divergência entre as duas testemunhas" e relata que seu indicador de concordância "apresenta uma probabilidade de 99% de que os dois sinais discordem." Os autores não consideram seus próprios dados como a resposta correta. Sobre a desinformação, eles observam que o conjunto de dados "contém um grande volume de deepfakes e desinformação gerada por IA", registros que frequentemente "descrevem danos produzidos por uma IA em vez de uma vulnerabilidade em um LLM." Os autores a classificam como a entrada mais contestada no registro, sem chegar a concluir que os especialistas erraram.
