A Check Point Research encontrou uma vulnerabilidade em que uma instrucao maliciosa plantada numa conversa do ChatGPT fazia o modelo, em segundo plano, ler dados do Gmail conectado da vitima e envia-los a uma segunda conta ChatGPT controlada pelo atacante. O canal de exfiltracao explorava um servico interno de distribuicao de pacotes (JFrog Artifactory) usado pelos containers de execucao de codigo, que acabava funcionando como uma especie de area de transferencia compartilhada entre contas diferentes. A OpenAI desativou o servico responsavel sem exigir nenhuma acao do usuario.
Uma revisão sistemática aceita na EMNLP 2026 mapeia 148 métodos de esteganografia linguística, 60 contramedidas de steganalysis e 23 métricas de avaliação, mostrando como LLMs mudaram o campo: de edição de texto-portador para geração pura via prompt, e de acesso caixa-branca a cenários caixa-preta. O levantamento é relevante porque LLMs tornam mais barato esconder mensagens dentro de texto aparentemente normal, com implicações tanto para comunicação encoberta maliciosa quanto para as defesas que tentam detectá-la.
O ataque ContextLeak usa aprendizado por reforço para gerar automaticamente nome e descrição de uma ferramenta maliciosa capaz não só de ser escolhida por um agente LLM, mas de convencê-lo a repassar como argumentos dados sensíveis do seu contexto de execução — prompt do usuário, trajetória e lista de ferramentas. O ataque se mantém eficaz mesmo quando os contextos de usuários simulados usados no treinamento diferem substancialmente dos das vítimas reais, superando ataques anteriores de ferramenta maliciosa adaptados ao mesmo cenário.
A Mindguard divulgou uma vulnerabilidade no IDE agentico Amazon Kiro (versao 0.7.45 no Windows) em que conteudo controlado por um repositorio malicioso, entregue via os chamados 'Kiro Powers' (configuracoes MCP, arquivos POWER.md e hooks), induz o agente a ler e exfiltrar informacoes locais sensiveis. Basta o usuario abrir o workspace malicioso e enviar qualquer mensagem ao agente -- nao e preciso escrever um prompt malicioso nem referenciar o conteudo comprometido. A Amazon corrigiu a falha na versao 0.8.140.
A empresa Adversa AI divulgou uma técnica batizada de "Cryptographic Context Injection" que engana o chatbot Grok, da xAI, fazendo-o decifrar e executar instruções maliciosas cifradas embutidas em uma página web comum. O ataque consegue exfiltrar nome do usuário, localização aproximada, nível de assinatura e trechos da conversa em andamento para um servidor controlado pelo atacante, e segue sem correção pública meses depois do primeiro aviso à xAI.
A Varonis Threat Labs revelou três vulnerabilidades no Microsoft Copilot Personal, batizadas de CoSnitch, que permitiam a um atacante executar um prompt malicioso dentro da sessão autenticada da vítima assim que ela abrisse um link, sem qualquer outra interação. As falhas combinavam parâmetros de URL não documentados, o próprio buscador de URLs do assistente para exfiltrar dados de apps conectados, e escrita persistente na memória do Copilot a partir de páginas resumidas. A Microsoft corrigiu o problema em 18/08/2026, sem evidência de exploração ativa.
Duas equipes de pesquisa independentes, PromptArmor e Varonis Threat Labs, mostraram formas distintas de manipular o assistente Rovo para coletar dados do Jira e Confluence acessiveis ao usuario logado e envia-los a um servidor externo. Apenas a rota descoberta pela Varonis, batizada de RovoBlast, foi confirmada como corrigida pela Atlassian; a tecnica da PromptArmor segue com status nao confirmado apos a divulgacao.
Gareth Heyes, da PortSwigger, apresentou na Black Hat USA 2026 uma serie de tecnicas que usam HTML e CSS ja permitidos por provedores de webmail para romper o isolamento entre o conteudo de um email e a interface que o exibe. Entre os exemplos mais graves estao cadeias que enganam assistentes de IA conectados ao email, como o Claude Cowork da Anthropic no Gmail e o OpenAI Atlas no Fastmail, levando-os a executar instrucoes escondidas dentro de mensagens e vazar tokens de autenticacao.
O artigo mostra que os "modelos de mundo" usados para dar a agentes de IA a capacidade de prever o resultado de suas próprias ações introduzem uma nova superfície de ataque: um adversário pode induzir previsões erradas em até 95% dos casos testados, levando agentes baseados em terminal a executar comandos maliciosos ou vazar dados sensíveis. Os autores argumentam que parte do risco é intrínseca à própria ideia de modelagem aproximada de mundo, não apenas um bug de implementação.
Pesquisadores identificam a interface de ferramentas (tool calling) como uma superfície de ataque negligenciada em agentes de IA com memória de longo prazo: uma ferramenta maliciosa pode exfiltrar dados privados de um usuário sem violar o isolamento entre contas. O ataque proposto, SPORE, consegue extrair 80% dos registros de memória quando não há limite de gatilhos, e ainda assim 47% com apenas 20 gatilhos, permitindo inclusive vincular os dados extraídos à identidade de usuários específicos.
Pesquisadores da Cereblab descobriram que o Grok Build, ferramenta de codificação assistida por IA da xAI/SpaceX, empacotava repositórios inteiros de usuários em git bundles e os enviava para armazenamento em nuvem do Google, com retenção de dados ativada por padrão para contas não-enterprise. Após a repercussão negativa, a empresa desligou a retenção padrão, apagou os dados retidos e liberou o código-fonte (cerca de 844 mil linhas de Rust) para auditoria pública, ainda que resquícios do código de upload continuem presentes no repositório, apenas desativados.