Um estudo da DeepMind destaca seis vulnerabilidades principais dos agentes de IA

Pesquisadores do Google DeepMind publicaram em 1º de abril de 2026 a primeira taxonomia completa dos ataques contra agentes de IA autônomos. Intitulado “AI Agent Traps”, o documento identifica seis categorias de armadilhas. E várias delas dizem respeito diretamente aos mercados cripto e financeiros.

Por que os agentes de IA se tornaram um alvo preferencial para hackers?

Um agente de IA autônomo não se limita a responder perguntas. Essa ferramenta de inteligência artificial navega na web, lê documentos, executa transações e envia e-mails. É essa autonomia que cria uma superfície de ataque inédita.

A primeira armadilha documentada refere-se às injeções de conteúdo. Explora um ponto cego simples. O que um humano vê numa página web e o que um agente de IA analisa são, de fato, duas coisas diferentes. Instruções maliciosas podem assim ser escondidas em comentários HTML, tags CSS invisíveis ou metadados de uma imagem. O agente os lê. O humano, nunca. Resultado: nos cenários testados, esses ataques enganaram agentes de IA em 86% dos casos.

A segunda categoria mira no raciocínio do modelo. Segundo o estudo, um conteúdo formulado de forma autoritária é suficiente para enviesar as conclusões de uma IA (exatamente como os vieses cognitivos humanos). Mais preocupante: os mesmos mecanismos permitem encapsular instruções maliciosas num quadro pedagógico ou de red-teaming. A IA interpreta então a solicitação perigosa como inofensiva.

A terceira armadilha diz respeito à memória de longo prazo. Quando um agente de IA utiliza uma base RAG (geração aumentada por recuperação), ele consulta documentos externos para complementar suas respostas. Envenenar alguns documentos nessa base é suficiente para corromper suas saídas de forma confiável e repetida.

No X, o coautor Franklin Matija esclarece:

Esses ataques não são teóricos. Cada tipo de armadilha tem provas de conceito documentadas.

Quais são as consequências concretas para o mercado cripto e as finanças de IA?

A quarta armadilha é a mais direta. Ataques comportamentais tomam o controle do que o agente faz. Por exemplo, um simples e-mail manipulado foi suficiente para vazar todo o contexto privilegiado do Microsoft M365 Copilot num caso documentado.

Pesquisadores da Columbia e Maryland forçaram agentes de IA a transmitir senhas e dados bancários a um atacante. Resultado: 10 tentativas em 10 bem-sucedidas. Os pesquisadores qualificaram esses ataques como “triviais de implementar”, sem qualquer especialização em machine learning.

A quinta armadilha é aquela que deve alertar os investidores cripto. As armadilhas sistêmicas não miram um agente de IA, mas milhares simultaneamente. O artigo da DeepMind traça uma analogia direta com o Flash Crash de 2010. Em 45 minutos, um algoritmo de venda automática apagou quase 1 trilhão de dólares em capitalização de mercado.

A versão IA desse cenário? Um falso relatório financeiro divulgado no momento certo poderia disparar ordens de venda sincronizadas em milhares de agentes de trading IA.

A sexta armadilha, por sua vez, volta a IA contra seu próprio supervisor humano. Ao gerar resumos truncados ou análises enganosas, o agente comprometido explora a fadiga da aprovação. O humano acaba validando sem realmente ler. O artigo cita um caso em que instruções de instalação de ransomware foram apresentadas como etapas de solução de problemas.

O estudo da DeepMind aponta, por fim, um grande vácuo jurídico: se um agente de IA comprometido executa uma transação ilícita num mercado cripto, nenhuma lei atual determina claramente quem é responsável (o operador, o fornecedor do modelo ou o site que hospedou a armadilha). A OpenAI inclusive admitiu em dezembro de 2025 que a injeção de prompt provavelmente nunca seria totalmente resolvida.

Certamente, a IA autônoma está transformando as finanças assim como o universo cripto. Mas o estudo da DeepMind lembra uma realidade: nenhum sistema autônomo é imune. Antes de delegar uma transação a um agente de IA, a questão da sua segurança deve prevalecer sobre a sua performance.