Pesquisadores demonstram que evidência forense pode ser usada para injetar instruções em assistentes de IA de perícia digital

A perícia digital tem uma característica que a torna um caso particularmente perigoso de prompt injection indireta: a evidência sob análise é, por definição, controlada pelo suspeito ou atacante, e o examinador é obrigado a examiná-la de perto como parte do próprio processo investigativo. Isso inverte a lógica usual de defesa contra injeção de prompt, que normalmente assume que dados externos “não confiáveis” podem ser tratados com mais cautela ou isolados — aqui, o dado não confiável é precisamente o objeto da investigação, e ignorá-lo não é uma opção.

Os autores estendem taxonomias clássicas de anti-forense (técnicas usadas por criminosos para dificultar investigações) para incluir a camada de raciocínio do modelo de IA como um novo alvo, ao lado dos alvos tradicionais de dados e ferramentas. Nessa extensão, um atacante escolhe um objetivo, uma técnica, um local específico para esconder o payload dentro da evidência e um método de ocultação, montando um ataque anti-forense direcionado especificamente a manipular a camada de IA do pipeline de análise, e não apenas a esconder ou destruir evidência da forma tradicional.

O conceito de “perception gap” é o núcleo técnico do trabalho: ferramentas forenses determinísticas, o examinador humano e o modelo de linguagem percebem a mesma peça de evidência de maneiras diferentes — uma ferramenta de hash ou parsing vê bytes, o humano vê um documento ou imagem renderizada, e o modelo processa texto extraído que pode conter instruções que nem a ferramenta determinística nem o examinador humano percebem como anômalas. Essa divergência de percepção é exatamente o que permite que uma injeção sobreviva ao fluxo de trabalho sem ser detectada antes de alcançar o modelo. Os autores demonstraram essa falha com três ataques de prova de conceito contra um pipeline real de análise assistida por LLM: alteração da conclusão reportada pela ferramenta, escrita de conteúdo arbitrário controlado pelo atacante na estação de trabalho do analista, e geração de tráfego de rede de saída — todos acionados apenas por texto plantado no dispositivo originalmente apreendido como evidência.

Na prática, esse resultado é relevante porque assistentes de IA já estão sendo adotados em laboratórios forenses para acelerar triagem de grandes volumes de dispositivos e evidências digitais, uma tarefa onde a pressão por velocidade é alta e a tentação de confiar nos resumos gerados por IA sem verificação byte-a-byte é real. Um atacante que planeja ser investigado — ou que já sabe que pipelines assistidos por IA são usados pela polícia ou por peritos corporativos — pode, em tese, plantar evidência adversarial de propósito para subverter a própria investigação, alterando conclusões ou até obtendo execução de código na estação do analista, o que exige que defesas de prompt injection sejam tratadas como requisito de integridade da cadeia de custódia, e não apenas como um problema de usabilidade de IA.