A Onda Vinda de Ataques Multimodais: Quando as Ferramentas de IA se Tornam a Nova Superfície de Exploração

À medida que os grandes modelos de linguagem (LLMs) evoluem para sistemas multimodais que podem lidar com texto, imagens, voz e código, eles também estão se tornando poderosos orquestradores de ferramentas e conectores externos. Com essa evolução, surge uma superfície de ataque expandida que as organizações precisam considerar.

Um exemplo claro disso é a engenharia social, que os agentes podem ser vítimas porque foram treinados para agir como os humanos e têm ainda menos ceticismo. Um agente, por exemplo, é improvável que possa determinar a diferença entre um e-mail spoofed e um de um vendedor legítimo.

A convergência da multimodalidade e do acesso a ferramentas transforma a IA de assistente em um meio para ataques. Os atacantes agora podem usar prompts de texto simples para desencadear o mau uso de ferramentas, executar ações não autorizadas ou exfiltrar dados sensíveis por meio de canais legítimos. Como essas capacidades são projetadas para acessibilidade, não para defesa, mesmo os adversários de baixa habilidade podem usar os sistemas de IA para realizar operações complexas sem escrever uma única linha de código.

Como a IA multimodal se torna uma corrente de exploração

Os LLMs estão se tornando cada vez mais orquestradores de sistemas externos, com integrações que incluem hoje tudo, desde APIs até e-mail, armazenamento em nuvem e ferramentas de execução de código. Esses conectores são frequentemente construídos para acessibilidade, não para defesa.

A desvantagem disso é que pode levar a uma onda de novos exploits.

Um deles é o mau uso de ferramentas impulsionado por prompts. Por exemplo, um atacante pode usar uma imagem com instruções de injeção de prompts inseridas em um e-mail. Uma ferramenta de reconhecimento óptico de caracteres (OCR) é necessária para extrair o texto da imagem. O agente é instruído a responder ao e-mail e anexar um mapa do Google ao endereço da vítima, desanonimizando assim a localização da vítima.

Outro mecanismo é a evasão de guardrails cross-modais. Isso se relaciona com guardrails que ficam entre os pontos de entrada e saída das ferramentas. Por exemplo, analisando a saída de um extrator de OCR, pode não haver uma guardrail forte o suficiente em torno de injeções de prompts descobertas a partir de sua saída.

Existem também fraquezas estruturais que podem ser exploradas. Uma dessas questões é a ligação frouxa e excessivamente permissiva entre o modelo e as ferramentas externas que ele pode chamar – significando que um prompt de linguagem natural simples pode desencadear ações reais, como executar código, acessar arquivos ou interagir com e-mail. Além disso, muitos desses sistemas carecem de controles de acesso estritos, então a IA pode ter a capacidade de escrever, excluir ou modificar dados muito além do que um humano autorizaria. O problema se torna ainda mais grave quando se olha para conectores e extensões do tipo MCP, que frequentemente vêm com quase nenhuma guardrail; uma vez anexados, eles expandem o alcance da IA para armazenamento pessoal, caixas de entrada e plataformas de nuvem com muito pouco controle. Juntos, essas fraquezas estruturais criam um ambiente em que problemas de segurança clássicos – exfiltração, escapes de sandbox e até envenenamento de memória – podem ser desencadeados por nada mais do que um prompt astutamente criado.

Ameaças emergentes: O que vem a seguir?

Nesse novo normal, ataques de engenharia social e e-mail habilitados por IA são iminentes. Phishing volume aumentará devido ao uso de LLMs pelo atacante; o ponto de estrangulamento é bypassar os filtros de spam normais dos provedores de e-mail, como o Google. Agentes de caixa de entrada conectados aumentam a probabilidade de ataques de phishing terem sucesso. Provavelmente haverá um aumento nas ameaças baseadas em e-mail à medida que os usuários conectam agentes ao Gmail ou Outlook.

Os atacantes podem direcionar a IA para executar campanhas de spam ou phishing inteiras. Nesse cenário,

o phishing de IA para IA se torna plausível.

Sistemas multimodais oferecem cada vez mais capacidades de execução de código. Caminhos de fuga permitem que os atacantes violam a infraestrutura subjacente. E escapes de sandbox representam o maior pesadelo de reputação para os fornecedores.

Envenenamento de memória de longo prazo e gatilhos diferidos representam ameaças adicionais. Memória persistente permite que payloads ocultos sejam ativados em prompts futuros. Gatilhos cross-modais (por exemplo, imagens ou trechos de texto) podem desencadear comportamentos de bomba-relógio.

Por que os ataques multimodais são tão acessíveis e perigosos

A IA democratizou as capacidades de ataque. Os usuários não precisam mais de habilidades de codificação ou desenvolvimento de malware; a linguagem natural se torna a interface para a criação de malware ou exfiltração de dados. Isso significa que até indivíduos não técnicos podem gerar malware ou executar campanhas por meio de prompts.

A IA também habilita a aceleração e escala de operações prejudiciais. Agentes multimodais podem automatizar trabalhos que antes exigiam esforço especializado. Código, e-mails, pesquisas e reconhecimento podem ser produzidos instantaneamente.

A confiança excessiva do usuário e a exposição involuntária contribuem para o potencial de dano da IA. Os usuários frequentemente não entendem o que a IA pode acessar, e as configurações padrão estão cada vez mais habilitando automaticamente as integrações da IA. Muitas pessoas não se dão conta de que concederam à IA acesso excessivo a e-mails ou documentos.

Princípios e controles para segurança multimodal

As organizações devem implementar medidas de segurança contra ataques multimodais. As equipes de segurança precisarão restringir o acesso às ferramentas por padrão. Controles de opt-in devem substituir as integrações habilitadas automaticamente. Eles também devem aplicar o acesso de menor privilégio a todos os sistemas conectados à IA e remover o acesso de gravação/exclusão. Isso deve incluir regras de origem cruzada e listas de permissão de domínio (listas de permissão de infraestrutura e não listas de permissão de nível de LLM).

Outra etapa importante é construir guardrails explícitos para a invocação de ferramentas. Substituir gatilhos de linguagem natural por validação de comandos estruturados e tipados. Os guardrails devem ser tanto pontos de entrada quanto de saída.

Princípios e controles adicionais importantes incluem:

• Implementar fluxos de aprovação fortes para operações sensíveis.
• Evitar colocar dados do usuário na memória persistente do modelo. Aplicar sanitização de memória automatizada e verificações de procedência.
• Fortalecer e isolar ambientes de execução de código.
• Monitorar comportamentos suspeitos e tentativas de fuga.
• Fortalecer a educação e a transparência do usuário.
• Adicionar mais confirmação do usuário quando o agente está executando tarefas de risco.
• Deixar claro quando as ferramentas de IA estão acessando e-mails, arquivos ou recursos de nuvem.
• Avisar os usuários sobre conectores de alto risco.

Ter sucesso contra ataques multimodais

As tecnologias de IA se transformaram rapidamente em agentes de operações comerciais, criando uma situação em que a linguagem natural em si se torna uma forma de exploração. A convergência da multimodalidade e do acesso a ferramentas abre a superfície de ataque, transformando a IA de assistente em um meio para ataques. Os ataques multimodais exploram a integração frouxa entre os LLMs e os sistemas externos que eles controlam, como APIs, armazenamento de arquivos e plataformas de automação.

À medida que as ameaças evoluem, as organizações devem adotar estratégias que contabilizem explicitamente os caminhos de ataque multimodais. Fortalecer as defesas usando as melhores práticas acima é essencial para prevenir que as ferramentas de IA sirvam involuntariamente como elos na corrente de exploração de um atacante.