Hackers encontraram um caminho novo para manipular agentes de IA. O alvo é a memória de longo prazo desses sistemas. Ou seja, o ataque mira aquilo que o agente guarda entre uma conversa e outra. Pesquisadores da Universidade Estadual do Novo México batizaram essa ameaça de GhostWriter e, além de detalhar o golpe, também apresentaram uma defesa capaz de conter o problema. Para quem constrói agentes, o recado é direto. A conveniência da memória persistente também abre uma brecha séria.

Por que a memória persistente virou a porta dos fundos dos agentes

Os agentes de IA evoluíram rápido nos últimos anos. Primeiro, eles apenas respondiam perguntas e geravam texto. Depois, passaram a executar tarefas de forma autônoma. Hoje, muitos agendam compromissos, respondem mensagens e alteram código. Para tornar essa experiência mais fluida, os desenvolvedores adicionaram memória persistente, um recurso que recupera dados de conversas antigas e evita que o usuário repita as mesmas informações. Contudo, essa mesma memória concentra informações sensíveis. E ela também recebe conteúdo vindo de fontes externas. Portanto, o cenário fica arriscado. Dados valiosos e entradas não confiáveis passam a conviver no mesmo espaço.

Hackers: GhostWriter reescreve aquilo que o seu agente acredita lembrar

O GhostWriter funciona como um envenenamento de memória. Em outras palavras, ele contamina o armazenamento permanente do agente. A lógica é simples e, por isso mesmo, preocupante. O atacante insere instruções ocultas nesse armazenamento. Mais tarde, quando o usuário faz uma solicitação sobre o tema, o sistema recupera o registro comprometido e passa a agir conforme o comando que foi plantado antes. O usuário, enquanto isso, não percebe nada de errado.

Duas etapas explicam como a memória do agente é contaminada por Hackers

O golpe se divide em dois momentos claros. Primeiro, o invasor envia um conteúdo escondido. Esse conteúdo consegue ser gravado como memória legítima. Depois, o usuário faz um pedido relacionado ao assunto. Nesse instante, o agente busca o registro contaminado. Em seguida, ele executa as instruções inseridas antes. Assim, a ação maliciosa acontece sem qualquer alerta.

Automatizou o email? Veja o exemplo que liga o alerta

Os pesquisadores demonstraram o risco com um caso concreto. Imagine um agente responsável por gerenciar emails. Uma memória falsa poderia mudar completamente o comportamento dele. Por exemplo, ela ordenaria que o agente resumisse as mensagens de um remetente específico e, em seguida, encaminhasse esses resumos para um endereço controlado pelo atacante. Tudo isso aconteceria sem o conhecimento do usuário. Pior ainda, o vazamento poderia incluir informações sigilosas. Os testes confirmaram uma alta taxa de sucesso nessa inserção. Além disso, as instruções plantadas ativavam com frequência preocupante. Ou seja, até os agentes mais avançados se mostraram vulneráveis.

AM-Sentry mostra como filtrar aquilo que entra na memória

A boa notícia é que já existe uma resposta. Os Hackers criaram o Agentic Memory Sentry. O nome aparece de forma abreviada como AM-Sentry. Essa proteção atua em duas frentes complementares. Primeiro, ela aplica uma política mais rígida de gravação. Assim, nem todo conteúdo entra na memória permanente. Segundo, ela verifica os registros antes da recuperação. Dessa forma, o sistema barra dados suspeitos na hora certa. Segundo os resultados descritos no estudo, a defesa reduziu de forma expressiva a eficácia do GhostWriter e, ainda assim, preservou a utilidade prática dos agentes.

O que muda no seu código a partir de agora

Para o desenvolvedor, o recado é bem prático. Trate a memória do agente como uma superfície de ataque. Primeiro, valide todo conteúdo antes da gravação. Depois, verifique cada registro no momento da recuperação. Além disso, separe os dados confiáveis das entradas externas. Nunca confie em um registro só porque ele parece legítimo. Por fim, acompanhe as pesquisas sobre defesas como o AM-Sentry. Esse campo ainda vai amadurecer bastante nos próximos meses, portanto quem se antecipa consegue proteger tanto os usuários quanto a própria reputação do produto.

Acompanhe nosso perfil no Instagram!