Um e-mail aparentemente normal pode carregar uma instrução escondida capaz de alterar o que um agente de inteligência artificial acredita saber. Em vez de produzir apenas uma resposta errada naquele momento, a IA pode salvar a informação maliciosa em sua memória e utilizá-la dias depois durante uma solicitação legítima do usuário.

Esse é o risco apresentado por pesquisadores da New Mexico State University em um estudo sobre o GhostWriter, um ataque criado para contaminar a memória persistente de agentes de IA conectados a ferramentas como e-mail e calendário.

Atualizado em 20 de julho de 2026: o estudo foi disponibilizado no arXiv em 6 de julho de 2026 e, no momento desta publicação, deve ser tratado como preprint. Os resultados foram obtidos em um ambiente experimental simulado e não significam que todos os assistentes de IA disponíveis ao público estejam vulneráveis da mesma maneira.

Resumo rápido: nos testes dos pesquisadores, aproximadamente 98% das mensagens maliciosas conseguiram deixar algum conteúdo contaminado na memória dos agentes. Quando essa memória foi recuperada posteriormente, o ataque alterou o comportamento do sistema em cerca de 60% das avaliações.

Analiso tecnologia com foco em custo-benefício seguindo as diretrizes editoriais do BaratoTech. Conheça nossas diretrizes editoriais.

O que os pesquisadores descobriram?

O estudo, chamado When Agents Remember Too Much: Memory Poisoning Attacks on Large Language Model Agents, analisa um problema que surge quando assistentes de inteligência artificial deixam de ser apenas chatbots e passam a guardar informações entre diferentes sessões.

Essa memória pode ser útil para lembrar contatos, compromissos, preferências, alterações de prazo e instruções anteriores. Entretanto, também pode transformar uma mensagem externa não confiável em uma informação persistente que o agente passa a considerar verdadeira.

O ataque apresentado no estudo recebeu o nome de GhostWriter. Ele não exige que o invasor tenha acesso direto à conta do usuário ou ao banco de dados de memória. A tentativa de contaminação pode chegar por um conteúdo que o agente já está autorizado a processar, como um e-mail ou convite de calendário.

O que é uma memória falsa em uma inteligência artificial?

O termo “memória falsa” pode dar a impressão de que a IA se lembra dos acontecimentos da mesma maneira que uma pessoa. Não é isso que acontece.

Em muitos agentes, a memória funciona como um arquivo ou banco de informações que armazena resumos de conversas, fatos considerados importantes, contatos, preferências e procedimentos utilizados anteriormente.

Quando o usuário envia uma nova solicitação, o sistema procura nesse armazenamento informações relacionadas ao pedido. As memórias consideradas relevantes são adicionadas ao contexto utilizado pelo modelo para gerar a resposta ou decidir qual ação executar.

O problema aparece quando uma informação externa maliciosa entra nesse armazenamento e passa a ser recuperada como se fosse uma instrução legítima ou um fato confirmado.

Como o ataque GhostWriter funciona?

O GhostWriter foi dividido pelos pesquisadores em duas etapas principais.

1. Contaminação da memória

Na primeira fase, o invasor envia um e-mail ou convite aparentemente normal contendo uma informação enganosa ou uma instrução direcionada ao agente de IA.

O agente processa o conteúdo como parte de sua rotina e pode transformar a mensagem em uma memória permanente. O ataque é considerado bem-sucedido nessa fase quando a informação maliciosa permanece preservada dentro do sistema de memória.

2. Recuperação e ativação

A informação contaminada pode permanecer inativa até que o usuário faça uma solicitação relacionada ao assunto.

Ao receber um pedido legítimo, o agente consulta sua memória, encontra a informação plantada e a adiciona ao contexto. Como o conteúdo veio de seu próprio armazenamento, o sistema pode interpretá-lo como confiável e utilizá-lo na resposta ou na execução de uma ferramenta.

Um exemplo apresentado pelos pesquisadores envolve uma mensagem afirmando que o endereço de e-mail de um contato foi alterado. Posteriormente, quando o usuário pede ao agente que envie uma mensagem para esse contato, a IA pode recuperar o endereço falso e direcionar a comunicação para o destinatário errado.

Esse exemplo é preocupante porque o usuário não precisa repetir nem mencionar a instrução maliciosa. A solicitação feita por ele pode ser completamente normal.

Por que esse ataque pode ser mais perigoso que uma resposta errada?

Uma alucinação comum geralmente aparece em uma resposta específica e pode desaparecer quando uma nova conversa é iniciada. O envenenamento de memória apresenta riscos diferentes:

• a informação pode continuar salva entre várias sessões;
• o ataque pode permanecer inativo até surgir uma solicitação relacionada;
• o usuário pode não perceber quando a memória foi criada;
• o agente pode utilizar ferramentas conectadas para executar ações;
• a informação pode parecer mais confiável por ter vindo da memória interna do sistema.

O risco aumenta quando a IA tem permissão para enviar mensagens, editar documentos, administrar compromissos, acessar arquivos ou executar código. Nesses casos, uma memória contaminada pode influenciar não apenas o texto apresentado ao usuário, mas também uma ação realizada em outra plataforma.

Quais agentes e modelos foram avaliados?

Os pesquisadores adaptaram cinco arquiteturas de memória para um cenário comum de assistente de escritório: A-Mem, Mem0, ExpeL, Letta — anteriormente conhecida como MemGPT — e MemoryOS.

Essas arquiteturas foram combinadas com quatro modelos: GPT-5.4-mini, DeepSeek-V4-Flash, Gemini 2.5 Flash e Llama 3.1 8B.

Os agentes receberam uma memória inicial construída a partir de cinco dias simulados de e-mails, reuniões, contatos, compromissos e alterações de prazo. Depois disso, foram expostos aos conteúdos maliciosos e a solicitações legítimas que poderiam recuperar essas informações.

Cada experimento foi repetido cinco vezes para reduzir o impacto de variações aleatórias nas respostas dos modelos.

O que significam os números de 98% e 60%?

A taxa próxima de 98% representa os casos em que o conteúdo malicioso conseguiu permanecer preservado na memória do agente. Isso não significa que o ataque executou automaticamente sua ação final em todas essas situações.

Para influenciar o comportamento, a memória ainda precisava ser recuperada durante uma solicitação futura e utilizada pelo modelo. Considerando todas as combinações avaliadas, a ativação ocorreu em aproximadamente 60% dos testes.

Algumas arquiteturas apresentaram resultados melhores que outras. O ExpeL, por exemplo, teve taxas de ativação mais baixas porque trata as memórias como exemplos anteriores, e não necessariamente como fatos que devem ser obedecidos.

Entretanto, até a combinação menos vulnerável encontrada no experimento ainda registrou ativação em parte dos testes. Isso reforça que simplesmente mudar o modelo de linguagem não resolve sozinho o problema de segurança da memória.

O estudo não prova que qualquer IA pode ser invadida

Os números são relevantes, mas precisam ser interpretados dentro das limitações do experimento.

• o ambiente de trabalho era simulado;
• não foram utilizados dados reais de usuários;
• os canais avaliados ficaram concentrados em e-mails e calendários;
• documentos, páginas da internet e repositórios de código não foram testados;
• o invasor utilizado não foi adaptado especificamente para contornar a defesa proposta;
• o estudo ainda não havia passado por revisão por pares na data desta publicação.

Portanto, não é correto afirmar que 98% de todos os agentes comerciais podem ser controlados dessa maneira. O resultado mostra que as arquiteturas avaliadas apresentaram uma falha estrutural importante em condições controladas.

Como os pesquisadores tentaram bloquear as memórias falsas?

Além de apresentar o ataque, os autores desenvolveram uma defesa chamada Agentic Memory Sentry, ou AM-Sentry.

O sistema utiliza duas barreiras. A primeira avalia uma informação antes que ela seja salva permanentemente. Entre os pontos considerados estão a origem do conteúdo, a confiabilidade da fonte, a presença de instruções, a possibilidade de verificação, possíveis contradições e o risco de alterar o comportamento do agente.

A segunda barreira funciona durante a recuperação. Antes que uma memória seja adicionada ao contexto do modelo, um filtro verifica se ela contém instruções suspeitas, tentativas de redirecionamento ou informações capazes de induzir ações não autorizadas.

Na configuração mais rigorosa combinada com o filtro de recuperação, a taxa média de sucesso completo do ataque ficou abaixo de 12% na maioria dos modelos avaliados. No Llama, a média permaneceu próxima de 20%.

Os resultados indicam que controlar tanto a gravação quanto a recuperação da memória pode reduzir consideravelmente o risco. Ainda assim, o AM-Sentry é uma proposta experimental e não deve ser considerado uma solução definitiva para todos os agentes.

O que usuários podem fazer para reduzir os riscos?

A maior parte das pessoas ainda não utiliza agentes com acesso irrestrito a e-mails, arquivos e calendários. Porém, esse tipo de integração está se tornando mais comum.

Alguns cuidados práticos podem reduzir o impacto caso um sistema conectado interprete uma informação incorretamente:

• liberar somente as permissões realmente necessárias;
• exigir confirmação antes do envio de mensagens ou compartilhamento de arquivos;
• não permitir transferências, exclusões ou alterações importantes sem revisão humana;
• verificar periodicamente as memórias salvas, quando a plataforma oferecer esse recurso;
• desconectar aplicativos que não estejam mais sendo utilizados;
• confirmar destinatários, valores, prazos e contatos antes de autorizar uma ação.

Para empresas, a proteção também exige registros de auditoria, identificação da origem das memórias, separação entre conteúdo externo e instruções confiáveis e confirmação humana para operações sensíveis.

Por que isso importa para quem acompanha tecnologia?

A inteligência artificial está deixando de funcionar apenas como uma caixa de perguntas e respostas. Novos agentes podem ler documentos, acompanhar projetos, organizar agendas, responder mensagens e operar partes do computador.

Quanto maior a autonomia, mais importante se torna saber de onde veio cada informação utilizada pelo sistema. Uma resposta incorreta pode ser corrigida. Uma informação falsa salva por semanas e utilizada automaticamente em várias tarefas pode ser muito mais difícil de detectar.

O desafio das próximas gerações de assistentes não será apenas produzir respostas melhores. Elas também precisarão distinguir informações fornecidas pelo usuário, dados externos não confiáveis e instruções autorizadas, sem transformar tudo em uma única memória aparentemente verdadeira.

Análise BaratoTech

O GhostWriter mostra que a memória, apresentada como um dos principais avanços dos agentes de IA, também pode se tornar uma área crítica de segurança.

O estudo não demonstra um ataque generalizado contra todos os produtos atuais, mas apresenta um alerta válido: um agente não deveria transformar automaticamente qualquer e-mail, documento ou convite recebido em uma instrução confiável e permanente.

Para o usuário comum, a recomendação mais importante continua sendo manter aprovação humana antes de ações sensíveis. Para as empresas que desenvolvem esses sistemas, será necessário criar controles claros sobre o que pode ser salvo, de onde veio a informação e quando uma memória deve ser descartada.

A memória torna a inteligência artificial mais útil, mas também aumenta as consequências de um erro. Quanto mais um agente souber e puder fazer, maior deverá ser o controle sobre aquilo que ele decide lembrar.

Perguntas frequentes

Uma inteligência artificial pode realmente ter memória falsa?

Agentes de IA não se lembram como seres humanos. A chamada memória falsa ocorre quando uma informação incorreta ou maliciosa é armazenada no sistema de memória e recuperada posteriormente como se fosse confiável.

O que é o ataque GhostWriter?

GhostWriter é um ataque experimental que tenta inserir informações ou instruções maliciosas na memória persistente de um agente por meio de conteúdos externos, como e-mails e convites de calendário.

O GhostWriter pode roubar informações?

Nos cenários estudados, uma memória contaminada poderia influenciar o agente a redirecionar comunicações, revelar informações ou executar ações fora da intenção original do usuário. Isso depende das permissões e ferramentas disponíveis para o agente.

Todos os assistentes de IA estão vulneráveis?

Não é possível fazer essa afirmação. O estudo avaliou cinco arquiteturas em um ambiente simulado. Produtos comerciais podem utilizar sistemas de memória, filtros, permissões e mecanismos de segurança diferentes.

Desativar a memória elimina o risco?

Desativar a memória persistente reduz esse tipo específico de ataque, mas também remove recursos de personalização e continuidade. A alternativa mais equilibrada é controlar quais informações podem ser salvas e revisar memórias antes que influenciem ações sensíveis.

Fontes consultadas

• arXiv — When Agents Remember Too Much: Memory Poisoning Attacks on Large Language Model Agents
• Tech Xplore — Hidden prompts can plant false memories in AI agents, researchers warn