OWASP aponta os 10 principais riscos de segurança para a inteligência artificial em 2026
A nova edição do Top 10 da OWASP para aplicações baseadas em grandes modelos de linguagem (LLMs) mostra como as ameaças à inteligência artificial estão mudando. Além de tentar manipular as respostas dos modelos, criminosos podem explorar agentes conectados a sistemas corporativos, acessar dados confidenciais e induzir a execução de ações indevidas.
A injeção de prompts permanece no primeiro lugar do ranking, enquanto a exposição de informações sensíveis ocupa a segunda posição. A alteração mais expressiva aparece em autonomia e permissões excessivas: o risco saltou do sexto para o terceiro lugar, refletindo a expansão de agentes capazes de interagir com e-mails, bancos de dados, ferramentas de desenvolvimento e serviços em nuvem.
A classificação da OWASP para 2026 é:
1. Injeção de prompts
2. Exposição de informações sensíveis
3. Autonomia e permissões excessivas
4. Vulnerabilidades na cadeia de suprimentos
5. Envenenamento de dados e modelos
6. Consumo ilimitado de recursos
7. Desinformação e respostas incorretas
8. Exposição de contexto oculto
9. Falhas em vetores e embeddings
10. Tratamento inadequado de saídas
Como o ranking foi elaborado
A edição deste ano combina avaliações de profissionais de segurança com registros documentados de falhas e danos relacionados à inteligência artificial. A análise considerou 7.714 registros de bases públicas; 6.639 continham dados suficientes para serem classificados.
Na metodologia, as avaliações especializadas tiveram peso de 75%, enquanto as evidências documentadas responderam pelos 25% restantes. A ponderação reconhece que os registros disponíveis não mostram necessariamente a frequência real de cada ameaça: incidentes podem não ser detectados, divulgados ou classificados de maneira uniforme.
Por isso, os números não devem ser entendidos como uma contagem de 7.714 ataques confirmados contra sistemas de IA. A base reúne diferentes tipos de ocorrências e evidências. A diferença entre as avaliações e os registros é especialmente visível no caso da injeção de prompts: ela lidera a classificação geral, mas não ficaria entre os dez riscos principais se fossem considerados apenas os dados documentados. Os autores apontam que investimentos em defesa podem influenciar essa diferença, embora a forma como incidentes são reportados também limite as conclusões.
Injeção de prompts continua no topo
Esse tipo de ataque ocorre quando um conteúdo processado pelo modelo altera seu comportamento e o leva a desobedecer às instruções definidas pela aplicação. A tentativa de manipulação pode estar em documentos, páginas da internet, mensagens de e-mail, respostas de ferramentas, imagens, áudios, conversas anteriores ou informações guardadas na memória do sistema.
Nem sempre o invasor precisa conversar diretamente com o chatbot. Em alguns casos, basta inserir instruções maliciosas em uma fonte que o assistente consultará durante uma tarefa. Um agente de atendimento, por exemplo, pode receber uma solicitação de cliente que contenha comandos destinados a desviá-lo de suas funções.
A ameaça é difícil de eliminar porque os modelos de linguagem interpretam instruções e dados por meio de mecanismos que não estabelecem uma separação tão rígida quanto a encontrada em sistemas tradicionais. Assim, a injeção de prompts não deve ser tratada como se fosse simplesmente uma versão de ataques conhecidos, como a injeção de SQL. Filtros podem ajudar, mas não garantem, por si só, que o conteúdo malicioso será reconhecido em qualquer contexto.
Agentes com acesso demais ampliam o impacto
A terceira posição de autonomia excessiva evidencia um problema prático: quanto mais tarefas um agente consegue executar, maior pode ser o dano provocado por uma falha ou manipulação. Se o sistema tem acesso amplo a arquivos, contas ou serviços, uma resposta incorreta pode resultar em alterações indevidas, exposição de dados ou interrupções de operação.
A OWASP recomenda limitar as permissões ao necessário para cada função. Também é importante que ações sensíveis dependam de autorização independente, em vez de confiar exclusivamente na decisão do modelo. Restringir as ferramentas disponíveis e definir limites operacionais ajuda a impedir que um erro de interpretação se transforme em uma ação prejudicial.
Dados, dependências e resultados também exigem proteção
A exposição de informações sensíveis, que ocupa o segundo lugar, pode ocorrer quando um modelo revela dados pessoais, credenciais, informações internas ou conteúdo confidencial incluído em suas entradas e fontes de consulta. As organizações precisam controlar quais dados chegam ao sistema, quem pode acessá-los e por quanto tempo são mantidos.
Os riscos da cadeia de suprimentos abrangem componentes e serviços utilizados no desenvolvimento e na operação de soluções de IA. Dependências vulneráveis ou comprometidas podem afetar o sistema mesmo quando o modelo principal não apresenta falhas conhecidas. Já o envenenamento de dados e modelos envolve a adulteração dos materiais usados no treinamento ou na operação, com o objetivo de influenciar resultados.
O consumo ilimitado de recursos pode gerar despesas inesperadas e prejudicar a disponibilidade do serviço. Limites de uso, monitoramento de custos e controles contra solicitações automatizadas abusivas ajudam a reduzir esse risco. Respostas incorretas também merecem atenção: quando são tratadas como verdadeiras em processos importantes, podem levar a decisões equivocadas e falhas operacionais.
Controles precisam ir além do modelo
A exposição de contexto oculto, que entrou no lugar do vazamento de prompts de sistema na classificação, diz respeito à revelação de informações internas utilizadas para orientar ou contextualizar as respostas. Também aparecem falhas em vetores e embeddings, recursos empregados para localizar informações relacionadas em bases de dados, e problemas no tratamento das saídas geradas pela IA.
Essas saídas devem ser verificadas antes de serem exibidas a usuários ou encaminhadas a outros sistemas. Sem validação, um texto produzido pelo modelo pode conter instruções ou conteúdo inadequado para a etapa seguinte de um fluxo automatizado.
O conjunto de riscos reforça que proteger aplicações de IA exige mais do que escolher um modelo seguro. É necessário controlar dados, permissões, ferramentas e integrações; acompanhar o comportamento dos agentes; testar cenários de manipulação; e estabelecer mecanismos de revisão para operações de maior impacto. Com a adoção de sistemas mais autônomos, a segurança depende de toda a arquitetura e dos limites definidos para cada ação.