---
title: "Ataque hacker 'invisível' Nova técnica de IA esconde comandos maliciosos em imagens redimensionadas"
author: "Gabriela P. Torres"
date: "2025-08-26 09:28:00-03"
category: "Segurança & Privacidade"
url: "http://desbugados.scale.press/portal/desbugados/post/2025/08/26/ataque-hacker-invisivel-nova-tecnica-de-ia-esconde-comandos-maliciosos-em-imagens-redimensionadas/md"
---

# O Cavalo de Troia Mora no JPEG

Imagine uma imagem que guarda um segredo, mas apenas para uma inteligência artificial. Parece roteiro de ficção científica, mas é a mais nova dor de cabeça para o mundo da cibersegurança. Pesquisadores da empresa Trail of Bits, especificamente Kikimora Morozova e Suha Sabi Hussain, desenvolveram um método de ataque que transforma imagens aparentemente inofensivas em veículos para roubo de dados. A técnica, que explora um processo computacional corriqueiro, foi capaz de enganar o Gemini do Google e extrair informações do calendário de um usuário, expondo uma vulnerabilidade sutil e alarmante no ecossistema de IA.

A base do ataque não é uma falha complexa em código criptográfico, mas sim uma manipulação inteligente do processo de redimensionamento de imagens, algo que sistemas de IA fazem o tempo todo para otimizar desempenho e custos. A descoberta se apoia em uma teoria apresentada em um artigo acadêmico de 2020 por uma universidade alemã, a TU Braunschweig, mostrando que a teoria pode, de fato, se tornar uma arma prática e eficaz.

## Como um Pixel Inofensivo Vira uma Arma Digital?

A lógica por trás do ataque é quase uma pegadinha de programação, um exemplo clássico do estilo "se... então... senão". **Se** um usuário envia uma imagem de alta resolução para um sistema de IA, **então** o sistema, para economizar recursos, a redimensiona automaticamente. **Porém**, se essa imagem foi criada com uma intenção maliciosa, **então** o algoritmo de redimensionamento (seja ele `nearest neighbor`, `bilinear` ou `bicubic`, como cita a pesquisa) cria artefatos visuais. Esses "erros" de compressão, que para um humano são imperceptíveis, para a IA revelam um texto que estava oculto.

No exemplo divulgado pela Trail of Bits, áreas escuras específicas de uma imagem maliciosa se tornam vermelhas durante o processo de redimensionamento bicúbico. Essa alteração de cor faz com que um texto em preto, antes camuflado, surja de forma legível para o modelo de linguagem. O resultado? A IA interpreta esse texto recém-revelado como parte da instrução original do usuário e o executa sem questionar. Do ponto de vista do usuário, nada de anormal aconteceu; nos bastidores, porém, um comando para vazar dados pode ter sido executado.

## O Teste de Fogo: Gemini na Mira

Para provar que a teoria não era apenas um exercício acadêmico, os pesquisadores da Trail of Bits colocaram o Gemini CLI do Google à prova. Eles criaram uma imagem com um prompt malicioso embutido e a submeteram ao sistema. A instrução oculta era simples e direta: exfiltrar dados do Google Calendar para um endereço de e-mail arbitrário. Para piorar o cenário, o ataque utilizou o Zapier MCP com a configuração `trust=True`, um parâmetro que basicamente diz ao sistema para aprovar chamadas de ferramentas sem a confirmação do usuário.

O resultado foi um sucesso para os pesquisadores e um alerta para o Google. A IA, obedientemente, leu o comando escondido e enviou os dados do calendário, validando a eficácia do ataque. A promessa de um assistente de IA seguro e prestativo encontrou seu teste de realidade: a mesma eficiência que o torna rápido também o torna vulnerável a manipulações que o olho humano não pode detectar.

## Quem Mais Está na Berlinda?

A vulnerabilidade não é exclusiva do Gemini CLI. Segundo o relatório da Trail of Bits, a técnica se mostrou viável contra uma lista considerável de sistemas, incluindo:


- Vertex AI Studio (que utiliza o backend do Gemini)
- A interface web do Gemini
- A API do Gemini via llm CLI
- O Google Assistant em um celular Android
- A plataforma Genspark

A amplitude dos sistemas afetados sugere que o problema reside no método de processamento de imagem, e não em uma falha isolada de um único produto. Para demonstrar e auxiliar outros pesquisadores, a equipe da Trail of Bits também publicou uma ferramenta de código aberto chamada **Anamorpher** (atualmente em beta), capaz de gerar as imagens maliciosas ajustadas para cada tipo de algoritmo de redimensionamento.

## E Agora? Como a Gente se Defende Disso?

A Trail of Bits não apenas apontou o dedo para a falha; ela também sugeriu o curativo. As recomendações para mitigar este tipo de ataque são um misto de boas práticas e novas camadas de segurança. Os desenvolvedores de sistemas de IA deveriam, segundo eles, implementar restrições de dimensão para as imagens que os usuários enviam. Se o redimensionamento for inevitável, o ideal seria fornecer ao usuário uma prévia do resultado final que será entregue ao modelo de linguagem (LLM).

Outra recomendação fundamental é exigir a confirmação explícita do usuário para qualquer chamada de ferramenta considerada sensível, especialmente quando o sistema detecta a presença de texto em uma imagem. No entanto, os pesquisadores afirmam que "a defesa mais forte é implementar padrões de design seguros e defesas sistemáticas que mitiguem a injeção de prompt de forma mais ampla". Em outras palavras, o problema é mais profundo do que apenas imagens maliciosas; é sobre construir IAs que sejam, por padrão, mais resistentes a serem manipuladas. O jogo de gato e rato na cibersegurança acaba de ganhar um novo tabuleiro, e as peças são feitas de pixels.