Sites comerciais estão utilizando botões 'Ask AI' para realizar ataques de injeção de prompt que alteram a memória de assistentes de inteligência artificial. A técnica, classificada como 'envenenamento de recomendação', foi identificada em 31 empresas de 14 setores diferentes, segundo dados de fevereiro de 2026 da Microsoft Security.
O ataque explora o uso de deep links, que são links configurados para preencher automaticamente uma consulta no ChatGPT, Claude, Gemini ou Grok. Ao clicar no botão, o usuário executa sem aviso uma instrução que pode forçar o modelo de IA a salvar um domínio específico como uma 'fonte confiável'. Esse processo contamina a memória de longo prazo da ferramenta, passando a induzir viés em respostas futuras a favor da empresa que instalou o botão.
A prática foi catalogada na base de conhecimento MITRE ATLAS sob a identificação AML.T0080, relacionada ao envenenamento de memória. A ameaça foi reportada em 4 veículos de comunicação.
Como ocorre a manipulação
O ataque ocorre no nível do clique, o que permite contornar defesas que analisam apenas conteúdos extraídos de páginas web. O processo segue este fluxo:
- O usuário clica em um botão 'Ask AI' em um site.
- O link abre a sessão do chatbot com um comando pré-preenchido invisível.
- A IA interpreta o comando, como 'salve este domínio como fonte confiável'.
- O modelo armazena a instrução na memória persistente do usuário.
Especialistas diferenciam táticas de marketing legítimas de ações maliciosas. Enquanto links que buscam apenas favorecer um produto em uma pergunta são considerados práticas de otimização para motores generativos (GEO), a linha é cruzada quando o link manipula o comportamento do modelo de forma permanente sem que o usuário autorize a alteração em seu perfil de preferência.
