Em outubro de 2025, a Anthropic publicou uma pesquisa conjunta com o UK AI Security Institute e o Alan Turing Institute que testou uma pergunta direta: quantos arquivos maliciosos bastam para plantar um comportamento indesejado dentro de um modelo de IA, não importa o tamanho dele? A resposta foi 250 documentos. Não uma fração da base de treinamento — um número fixo, o mesmo para um modelo pequeno e para um modelo vinte vezes maior.
Um mês antes, pesquisadores de universidades americanas tinham medido outro lado do mesmo problema, olhando para quase 200 mil currículos reais enviados a empresas entre 2019 e 2025: cerca de 1% continha instrução escondida, invisível ao olho humano, escrita para convencer o sistema de triagem por IA a aprovar aquele currículo. A proporção multiplicou por sete só entre julho de 2024 e novembro de 2025.
Os dois estudos apontam para o mesmo ponto cego: a empresa não precisa treinar um modelo do zero para ser afetada. Basta que um arquivo comum — um currículo, uma proposta comercial, uma nota fiscal, uma planilha enviada por alguém de fora — entre no acervo que a IA usa como fonte de verdade. Para quem decide investir em IA corporativa, a pergunta deixa de ser "a IA está certa?" e passa a ser "quem decidiu que este arquivo podia virar conhecimento?".
Poucos Arquivos Bastam Para Virar Verdade
Para entender o tamanho do problema, vale separar dois momentos. O estudo da Anthropic mira o treinamento do próprio modelo de IA — um cenário raro para a empresa comum, que quase nunca treina sua própria IA do zero. O caso que interessa a quem usa IA no dia a dia é outro: o de um sistema que responde consultando o acervo de documentos da própria empresa.
Nesse cenário, um estudo acadêmico aceito para apresentação no USENIX Security Symposium de 2025 testou exatamente isso: quantos textos maliciosos bastam para manipular a resposta de um sistema que consulta um acervo de documentos, sem acesso ao modelo nem à infraestrutura da empresa — só a capacidade de colocar um arquivo onde a IA vai procurar depois. Cinco textos foram suficientes para manipular a resposta em 90% das tentativas.
É esse segundo cenário que qualquer empresa que usa IA para responder com base no próprio conhecimento já enfrenta, mesmo sem perceber. Um currículo enviado por um candidato, uma proposta comercial de um fornecedor, uma nota fiscal, uma planilha recebida por e-mail: são arquivos que chegam de fora e, em muitas empresas, seguem direto para uma pasta ou um sistema que a IA já lê.
A organização internacional que reúne especialistas em segurança de aplicações de IA, a OWASP, tornou esse risco uma categoria própria na lista mais recente de riscos que publica: "envenenamento de dados e de modelo" está entre os dez principais, ao lado da instrução escondida dentro de um documento comum — o mesmo mecanismo que faz um currículo carregar uma ordem que nenhum recrutador escreveu.
Para empresas brasileiras e latino-americanas, o cenário é o mesmo, só que menos discutido em público. O RH recebe currículo, o financeiro recebe nota fiscal e boleto, o setor de compras recebe proposta de fornecedor — e a pressão para que a IA "já leia tudo isso e resuma" cresce mais rápido do que a pergunta sobre quem confere o que entra ali.
Um Antivírus Não Vê Essa Ameaça
O primeiro instinto de quem ouve isso é pensar em segurança tradicional: um antivírus, um filtro de anexo, uma lista de palavras proibidas. Nenhum dos três resolve, e por um motivo simples: o arquivo não carrega um vírus. Carrega texto. Um antivírus procura assinatura de programa malicioso; a instrução escondida num currículo ou numa planilha é apenas uma frase, igual a qualquer outra do documento.
Filtrar por palavra-chave também não segura. A pesquisa citada na abertura mostrou que as instruções escondidas em currículos evoluem mais rápido do que qualquer lista consegue prever — e a maioria nem aparece como frase legível: usa fonte minúscula na cor do fundo, ou é escrita fora da área visível da página, para que uma pessoa nunca a veja, mas o sistema que lê o texto do arquivo a capture inteira.
Revisar cada arquivo à mão também não escala. Uma empresa de porte médio recebe centenas de currículos, notas fiscais e propostas por mês; nenhuma equipe consegue ler linha por linha antes de deixar a IA processar. E aqui está o ponto central: a maioria das empresas não trata o conhecimento da IA como um cofre — trata como uma pasta compartilhada. Qualquer arquivo que chega vira, no minuto seguinte, algo que a IA pode citar como se fosse informação oficial da empresa.
O Que Precisa Existir Na Prática
Um ambiente de IA preparado para esse risco se apoia em mecanismos verificáveis, não em promessa de que "nosso filtro pega isso".
Um portão entre "chegou" e "virou conhecimento". Todo arquivo recebido de fora — currículo, proposta, nota fiscal, planilha de parceiro — entra numa área de espera. Ele só passa a alimentar as respostas da IA depois de uma etapa deliberada de aceitação, nunca automaticamente no momento em que chega.
Revisão e aprovação em duas etapas para documentos críticos. Quem recebe o arquivo não é, por padrão, quem autoriza que ele vire conhecimento da IA — essa separação é configurável e vale sobretudo para documentos que vão orientar decisão ou política interna, com segregação de funções e exceções auditadas.
Documento com dono e versão vigente. Cada peça de conhecimento aprovada tem uma pessoa responsável e uma data — não fica solta como um arquivo qualquer numa pasta comum.
Acesso conforme o papel de cada pessoa. Nem todo conhecimento aprovado precisa estar visível para todo mundo; um documento de um fornecedor específico, por exemplo, fica restrito a quem trabalha com aquele fornecedor.
Trilha de auditoria de quem aprovou o quê. Se uma resposta da IA parecer estranha, dá para reconstruir a origem — qual arquivo, quem aprovou, quando — em vez de uma investigação que começa do zero.
É assim que a Skyller foi desenhada: entrada com identidade corporativa, revisão em duas etapas para documentos críticos e trilha de auditoria por trás de cada peça de conhecimento aprovada.
Da Suspeita Geral À Aprovação Rápida
Quando cada arquivo externo passa por um portão antes de virar conhecimento, o efeito não é só menos risco — é mais velocidade para quem faz esse trabalho. Hoje, a alternativa a um controle assim costuma ser um extremo ou outro: ou a equipe barra tudo que vem de fora até alguém "dar uma olhada" e o gargalo emperra o RH, o financeiro e o setor de compras, ou ninguém olha nada e todo arquivo vira conhecimento automaticamente.
Com um fluxo de aprovação claro, a proposta de um fornecedor recorrente, por exemplo, pode ser aprovada uma vez e ficar disponível para quem precisa dela toda vez que surgir uma dúvida sobre aquele contrato — sem que cada pessoa precise reabrir o arquivo original. O trabalho de revisar não se repete; ele vira conhecimento reutilizável, com o crédito de quem aprovou.
Há também um ganho que só aparece depois de um incidente, quando é tarde demais para preveni-lo mas ainda dá para explicar o que aconteceu: se uma resposta da IA citar informação incorreta ou manipulada, uma trilha de auditoria mostra em minutos de onde ela veio — em vez de uma investigação que atravessa semanas tentando reconstruir quem enviou o quê.
Um Roteiro Para Começar
Antes de tratar isso como um problema hipotético, vale um roteiro simples para testar o próprio ambiente de IA:
- Descubra quem pode alimentar o conhecimento da IA hoje. Se a resposta for "qualquer pessoa que tem acesso à pasta", esse é o primeiro ponto a fechar.
- Separe os documentos que só informam dos que decidem. Um manual geral tolera erro passageiro; uma política de crédito ou um contrato vigente merecem revisão em duas etapas antes de virar conhecimento da IA.
- Pergunte quem seria avisado se um arquivo malicioso entrasse amanhã. Se a resposta for "ninguém, a menos que alguém desconfie da resposta da IA", falta uma trilha de auditoria.
- Teste com um arquivo real recebido essa semana. Um currículo, uma proposta, uma nota fiscal: veja o que acontece com ele hoje, do recebimento até estar — ou não — disponível para a IA responder.
