O que muda para o CISO quando o visitante do site é um agente de IA
Em setembro de 2026, um agente de IA que visita o seu site pode ler instruções escondidas numa avaliação de cliente e executá-las com a sessão logada do usuário; os dois controles em que o time de segurança mais confia, robots.txt e captcha, não impedem esse cenário. Este guia entrega, em sete controles, o mínimo para o site atender agentes de compra e de pesquisa sem virar vetor de ataque, com fonte primária nas afirmações factuais centrais e rótulo de análise própria onde a conclusão é minha.
A tese contestável: para uma loja com checkout próprio e tráfego orgânico relevante, bloquear a categoria Agent por padrão custa mais em oportunidade perdida do que custa mitigar o risco com os controles deste guia. O critério é a comparação entre dois custos: o de sumir das respostas do ChatGPT, do Gemini e do Perplexity, que já se mede em visitas e pedidos assistidos por IA, e o de um projeto de contenção de quatro a doze semanas. Liberar sem controle transforma cada campo de comentário numa entrada de comando. O caminho que defendo separa três coisas que o mercado mistura: conteúdo (sempre dado, nunca instrução), identidade (assinatura criptográfica no lugar do user-agent) e ação (confirmação humana no lugar de confiança no agente).
Uso ao longo do texto um caso condutor hipotético: a Casa Norte, loja de materiais de construção com avaliações de clientes abertas, checkout próprio e migração do domínio para a Cloudflare marcada para 20 de setembro de 2026, cinco dias depois da virada dos padrões novos do CDN. É um cenário-modelo: todo número da Casa Norte é hipotético e vem rotulado. As documentações de fornecedores citadas neste guia foram conferidas em 3 de setembro de 2026, salvo indicação em contrário.
A injeção indireta de prompt já saiu do laboratório?
Sim, com dois níveis de evidência distintos: prova de conceito em navegadores agênticos (Universidade de Washington, abril de 2026) e campanhas observadas em produção por telemetria de fornecedores de segurança (Unit 42 em março de 2026, Zscaler ThreatLabz em julho de 2026). Um CISO precisa dos dois níveis separados para dimensionar a resposta.
No nível da demonstração, Franziska Roesner e David Kohlbrenner, da Universidade de Washington, publicaram em 15 de abril de 2026 o estudo Agentic Browsers and the Same-Origin Policy. Eles examinaram sete navegadores com agente embutido e mostraram um ataque completo contra o ChatGPT Atlas. A cadeia tem quatro passos: a página do atacante carrega um iframe de outra origem; o usuário pede um resumo; o agente cai na instrução escondida e copia conteúdo da outra origem para um formulário; o formulário se envia sozinho. Outros navegadores do conjunto cumpriam as pré-condições do mesmo ataque. A política de mesma origem deixa de segurar quando o agente tem acesso às duas abas.
No nível da produção, a Unit 42 da Palo Alto Networks descreveu em 3 de março de 2026 detecções em telemetria real de sites maliciosos com instruções escondidas para modelos de linguagem, incluindo o primeiro caso observado de evasão de revisão de anúncios feita por IA, manipulação de busca em favor de um site de phishing e comandos de destruição de dados. Em 2 de julho de 2026, a Zscaler ThreatLabz documentou duas campanhas ativas que combinam envenenamento de busca com instruções ocultas em CSS e HTML: uma vende uma chave de API falsa e induz o agente a pagar, a outra imita uma plataforma de criptomoedas. Na validação interna da Zscaler com 26 modelos de linguagem, quatro modelos executaram a ação indevida na primeira campanha e dois classificaram o site falso como legítimo na segunda (Zscaler ThreatLabz, 2 de julho de 2026, 26 modelos testados pela própria equipe).
A referência normativa acompanhou o movimento. A edição 2026 do OWASP Top 10 for LLM Applications, publicada em agosto de 2026 (página oficial datada de 3 de agosto; lançamento no GitHub e no Zenodo em 4 de agosto), mantém a injeção de prompt como LLM01 e traz Excessive Agency, o agente com mais poder do que a tarefa exige, para a terceira posição. Até julho a versão vigente era a de 2025; quem ainda cita a lista antiga em política interna está desatualizado por um ciclo.
Na Casa Norte (hipotética), o inventário de superfícies mostrou 1.840 avaliações públicas de clientes, 312 perguntas e respostas de produto e um chat de suporte, todos legíveis por agente e nenhum com moderação de instruções imperativas. A pergunta ao time de produto passa a ser: o que um agente faz com o que está escrito.
Por que robots.txt não segura os agentes de ação
Os fetchers acionados por usuário (ChatGPT-User, Perplexity-User) declaram na documentação oficial que podem não respeitar robots.txt; o Claude-User declara que respeita. O arquivo continua sendo o sinal correto a publicar, e deixa de ser controle de segurança. Bloqueio efetivo de fetcher, quando necessário, acontece no WAF, por faixa de IP publicada pelo fornecedor.
A matriz abaixo reúne o que cada documentação diz em 3 de setembro de 2026. Ela complementa a matriz de bots por finalidade que publiquei em junho, com a coluna que interessa ao CISO: quem obedece.
| Fornecedor | Treino | Busca e citação | Ação do usuário | O que a documentação diz sobre robots.txt |
|---|---|---|---|---|
| OpenAI | GPTBot | OAI-SearchBot | ChatGPT-User | GPTBot e OAI-SearchBot obedecem; para ChatGPT-User, "as regras de robots.txt podem não se aplicar" porque a ação é iniciada pelo usuário (documentação de crawlers da OpenAI). IPs em openai.com/chatgpt-user.json. |
| Anthropic | ClaudeBot | Claude-SearchBot | Claude-User | Os três obedecem robots.txt e não contornam captcha, segundo a página de crawling da Anthropic. IPs publicados em lista oficial. |
| Perplexity | (declara não treinar) | PerplexityBot | Perplexity-User | PerplexityBot obedece; Perplexity-User "geralmente ignora as regras de robots.txt" porque o usuário pediu a busca (documentação de crawlers da Perplexity). IPs em perplexity.com/perplexity-user.json. |
Há uma segunda razão para o CISO parar de pensar em robots.txt como cerca: a partir de 15 de setembro de 2026 a Cloudflare passa a bloquear, por padrão e em domínios novos, os bots classificados como Training e como Agent nas páginas que exibem anúncios, mantendo Search liberado, conforme a documentação oficial de bloqueio de bots de IA. O CDN decide antes do seu robots.txt. Detalhei o que fazer com cada bot no checklist de bots de IA para o dia 15 de setembro; aqui interessa a consequência: a categoria Agent, a que traz o comprador via agente, é a que o padrão novo desliga.
Na Casa Norte (hipotética), o robots.txt liberava tudo e a migração para a Cloudflare, marcada para 20 de setembro, criaria um domínio novo já sob o padrão que desliga Agent nas 220 páginas de categoria com anúncios de fornecedores. A política de acesso nasceria no painel, e o time olhava para o arquivo.
Como distinguir agente legítimo de scraper sem captcha
A identidade criptográfica por requisição é o padrão emergente: o Web Bot Auth, em grupo de trabalho do IETF, assina cada requisição HTTP com base na RFC 9421, e a Cloudflare já verifica agentes assinados na sua taxonomia de bots. Enquanto é rascunho, serve como sinal de identidade: agente assinado é identificável e recebe tratamento de risco próprio, sem virar confiável por isso. A assinatura prova quem envia a requisição; autorização, escopo, limite de taxa, log e confirmação humana continuam sendo controles separados, e a ausência de assinatura nunca vira bloqueio automático.
O rascunho draft-ietf-webbotauth-httpsig-protocol-00, publicado em 1 de setembro de 2026 com validade até 5 de março de 2027, define o cabeçalho Signature-Agent para descoberta da chave, um diretório de chaves em formato JWKS e a URI conhecida em que esse diretório é servido. O documento traz o aviso padrão de que rascunhos do IETF valem por no máximo seis meses e podem ser substituídos; é a razão de não usar a assinatura como controle único.
Do lado do CDN, a Cloudflare reorganizou em 1 de julho de 2026 a classificação de bots verificados, segundo a página oficial de bots verificados e agentes assinados: cada bot recebe um ou mais comportamentos (Search, Agent, Training, Transact, Data Collection, entre outros) e um rótulo de operação, Direct quando um único operador envia as requisições ou Intermediary quando um serviço agêntico é acionado por muitos usuários finais diferentes. Para o CISO, o rótulo Intermediary é o que descreve ChatGPT-User, Claude-User e Perplexity-User: a operadora é uma, os mandantes são milhares.
O captcha vira controle a aposentar no caminho de compra agêntico: interrompe o agente legítimo assinado com a mesma eficiência com que interrompe o scraper, e o scraper que importa já usa navegador real. A regra que aplico separa navegação de transação. Assinatura verificada libera cota maior de requisições para navegação, comparação e montagem de carrinho; ausência de assinatura cai numa cota menor, sem bloqueio por padrão. A transação segue outra trilha, igual para assinados e não assinados: autenticação do usuário, mandato ou consentimento verificável, resumo canônico confirmado por pessoa e step-up quando a sessão apresenta anomalia. Para o scraper com navegador real, que cai na trilha não assinada, a cota menor vem acompanhada de análise comportamental de sessão pelo WAF (ritmo de requisições, cobertura do catálogo, impressão digital do navegador), que é o controle que o captcha fingia ser.
Na Casa Norte (hipotética), o WAF aplicava captcha a qualquer user-agent com a palavra "bot": barrava o OAI-SearchBot e o Claude-SearchBot na entrada e deixava passar o navegador automatizado de um concorrente que copiava preços com user-agent de Chrome.
Checklist: os sete controles para ser agent-friendly sem virar vetor
Sete controles cobrem as três superfícies (conteúdo, identidade, ação). Num e-commerce médio com Cloudflare já implantada, logs centralizados e checkout próprio, estimo quatro a seis semanas de um time de plataforma; sem uma dessas três condições, trate como oito a doze. A lista é análise própria, consolidada a partir das fontes desta peça: os cinco primeiros tratam conteúdo, identidade e log; os dois últimos cobrem ferramentas expostas por protocolo e checkout. Dono por controle: o CISO define política e aceita risco residual (1, 3, 4); plataforma implementa WAF, varredura e log (2, 4, 5); produto altera o fluxo de compra (3, 7); o time de backend responde pelas ferramentas expostas (6). O CTO prioriza o backlog e cobra a evidência de pronto de cada item.
- Trate conteúdo de terceiros como dado hostil, além de escapar o HTML. Como: moderação automática de instruções dirigidas a agentes ("ignore as instruções anteriores", "envie para", "pague", "acesse" seguido de URL externa) em avaliações, perguntas de produto, comentários e chat. A política é por contexto, e um verbo sozinho nunca bloqueia: "acesse sua conta para ver a nota fiscal" numa resposta oficial de FAQ é benigno; "acesse este link e informe o cartão" numa avaliação vai para a fila. Defina limiar de pontuação, revisão humana em até 24 horas para o que fica na faixa cinzenta e medição mensal de precisão e recall sobre uma amostra rotulada, para que o filtro não vire censura de avaliação legítima. Por quê: escapar markup impede script e deixa passar o texto visível que o agente lê e obedece, como nas duas campanhas da Zscaler de 2 de julho de 2026.
- Elimine todo texto invisível com instrução, inclusive o "inofensivo". Como: varredura semanal por texto branco sobre branco, fonte zero, opacidade zero, posicionamento fora da tela, comentários HTML com frases imperativas e campos de JSON-LD com prosa dirigida a modelos. Por quê: a Unit 42 catalogou essas técnicas em 3 de março de 2026 como carga de ataque, e o Google trata instrução oculta como spam.
- Exija confirmação humana explícita para ação irreversível. Como: compra, cancelamento, alteração de endereço, troca de e-mail e emissão de segunda via passam por um resumo canônico (item, vendedor, preço, frete, prazo, forma de pagamento) que só o usuário confirma, nunca o agente. Por quê: a análise de segurança do Agent Payments Protocol v0.2, publicada no arXiv 2608.23858 em agosto de 2026, mostra que os mandatos assinados protegem a transação depois da assinatura, e que as mensagens de agente e as chamadas de ferramenta que moldam a transação antes da autorização ficam fora dessa proteção; o catálogo do paper chega a 48 ameaças. A confirmação humana é o controle que cobre o trecho desprotegido.
- Segmente tráfego agêntico por identidade verificável em vez de captcha. Como: regra de WAF por faixa de IP oficial dos fornecedores mais verificação de assinatura Web Bot Auth quando presente; cota de requisições por identidade, com cota menor para não assinados. Por quê: captcha derruba o comprador via agente e não derruba navegador automatizado com sessão real.
- Registre sessões de agente em log separado. Como: campos de user-agent, IP, resultado da verificação de assinatura, rótulo Direct ou Intermediary, páginas lidas e ações tentadas, com retenção igual à do log de autenticação. Por quê: sem esse log o time não consegue distinguir incidente de injeção indireta de erro do próprio agente, e a medição de visitas por agente vira chute.
- Modele cada ferramenta MCP ou NLWeb como API privilegiada. Como: autenticação forte para escrita, escopos por operação, allowlist de chamadas, limite de taxa por chave e sanitização da saída de cada ferramenta antes de ela voltar ao modelo, porque a resposta de uma ferramenta também carrega injeção para o passo seguinte. Por quê: o que publiquei sobre MCP, NLWeb, A2A e AP2 na prática descreve a face de visibilidade desses protocolos; a face de ataque nasce do mesmo endpoint.
- Separe "recomendar" de "executar" no checkout agêntico. Como: o endpoint de descoberta e comparação fica público e legível; o endpoint de transação exige mandato assinado, autenticação de pagamento e step-up quando a sessão apresenta anomalia (endereço novo, valor fora do padrão, cupom vindo de texto de página). Por quê: cupons e instruções promocionais lidos numa página são dados; o dia em que viram comando é o dia em que o atacante escreve a página.
No cenário-modelo da Casa Norte (hipotética), os sete itens fecharam em cinco semanas com dois engenheiros de plataforma e um analista de segurança, partindo de logs já centralizados e de checkout próprio. O item mais caro foi o primeiro, um classificador de instrução treinado nas 1.840 avaliações existentes, com critério de pronto de 95% de precisão numa amostra de 200 avaliações rotuladas à mão (número hipotético); o mais barato foi o quinto, um filtro de log que já existia. O risco residual registrado foi o sexto item: a ferramenta MCP de consulta de estoque ficou só em leitura até a revisão de escopos.
Quanto o site ganha ao ficar operável por agente com segurança
Um site desenhado para agentes elevou a taxa de sucesso estrita de tarefas de compra de 49,3% para 89,3% num experimento controlado publicado no arXiv em 13 de julho de 2026 (Said Elnaffar e Farzad Rashidi, 300 execuções, três modelos de navegação, cinco tarefas, mesmo catálogo e mesmos preços nas duas versões). A segurança e a operabilidade nascem do mesmo desenho: rótulos claros, ações explícitas e sinais de decisão verificáveis.
O paper Designing Agent-Ready Websites for AI Web Agents comparou uma versão orientada a humanos e uma versão agent-ready do mesmo protótipo de loja, com GPT-4.1, Gemini 2.5 Flash e Grok 4 Fast executando cinco tarefas em 150 rodadas por versão. A versão agent-ready obteve 134 execuções aprovadas em 150, contra 74 em 150 na versão de referência; os resultados parciais caíram de 43 para três e a média de passos por tarefa desceu de 9,31 para 6,49 (arXiv 2607.12056, 13 de julho de 2026, 300 execuções no total). Os maiores ganhos vieram de extração de detalhes de produto, comparação e seleção com várias restrições. Os autores classificam a evidência como preliminar, e é assim que a uso: sinal de direção, sem promessa de conversão.
O que interessa ao CISO é o mecanismo. A versão agent-ready ganhou por legibilidade de máquina, clareza semântica e pistas de ação explícitas: botões com rótulo semântico, dados estruturados coerentes, estoque e preço verificáveis. Cada uma dessas características reduz a chance de o agente adivinhar uma ação, e adivinhação é o comportamento que a injeção explora. Os dez sinais de agent-readiness que auditei em maio continuam sendo a lista de verificação da face de operabilidade; este guia é a face de contenção.
A gestão de risco corporativo já trata IA como categoria própria, como descrevi em como a IA transforma a gestão de risco, e a injeção indireta é o primeiro risco dessa categoria com telemetria pública de produção. Um site que atende agentes sem os sete controles pode executar pagamento induzido por página de terceiro (campanha um da Zscaler, 2 de julho de 2026) com a sessão do próprio cliente. A loja tende a carregar o risco operacional, reputacional e de disputa dessa transação; a alocação jurídica da perda depende do contrato com o meio de pagamento, do arranjo de chargeback e da jurisdição, e é análise a fazer com o jurídico, item a item.
Se o seu site tem avaliações abertas ou checkout e você quer saber em quais dos sete controles ele falha hoje, envie por este formulário o robots.txt, a exportação das regras de WAF e a URL do checkout. Em cinco dias úteis devolvo um mapa do que se enxerga de fora: conteúdo de terceiros com instrução dirigida a agente (1), texto oculto (2), segmentação de tráfego nas regras exportadas (4) e comportamento do checkout diante de um agente (3 e 7), com a ordem de correção. O log de sessões (5) e as ferramentas expostas (6) só se avaliam com acesso interno, e o mapa diz o que pedir ao seu time para fechá-los. Sem tocar em nada em produção e sem acesso ao painel: leio o que o agente lê.
Como a Casa Norte fica depois dos sete controles
A Casa Norte (hipotética) entrou neste guia com 1.840 avaliações sem moderação de instrução, captcha barrando os bots de busca das três plataformas, checkout sem confirmação canônica e uma migração de CDN que nasceria, em 20 de setembro, com a categoria Agent desligada por padrão. Saiu com moderação de instrução imperativa em conteúdo de terceiro, WAF que libera por assinatura e faixa de IP oficial, resumo de compra confirmado só pelo usuário, log separado de sessões de agente e política explícita de Search, Agent e Training registrada no painel no dia da migração.
O que mudou foi a pergunta que o CISO faz. Em agosto era "como bloqueio bots de IA"; em setembro é "qual agente, com qual identidade, pode fazer qual ação, e quem confirma". As três respostas (conteúdo como dado, identidade assinada, confirmação humana) independem de fornecedor e sobrevivem à próxima versão do rascunho do IETF e ao próximo ajuste de padrão da Cloudflare.
O que ainda não sei, e registro para não vender certeza: não localizei incidente de injeção indireta com impacto confirmado em usuários finais no Brasil entre julho e setembro de 2026, nem número oficial de adoção do Web Bot Auth por OpenAI, Anthropic e Perplexity nesta data. Os dois vazios pesam a favor de agir agora, enquanto o custo é de projeto e não de resposta a incidente.
Referências
- Agentic Browsers and the Same-Origin Policy, Franziska Roesner e David Kohlbrenner, Universidade de Washington, 15 de abril de 2026
- Fooling AI Agents: Web-Based Indirect Prompt Injection Observed in the Wild, Unit 42, Palo Alto Networks, 3 de março de 2026
- Indirect Prompt Injection Targets AI Agents, Zscaler ThreatLabz, 2 de julho de 2026
- OWASP Top 10 for LLM Applications, edição 2026, OWASP Gen AI Security Project, página oficial datada de 3 de agosto de 2026 (lançamento no GitHub e no Zenodo em 4 de agosto)
- Overview of OpenAI crawlers, OpenAI Developers, lido em 3 de setembro de 2026
- Does Anthropic crawl data from the web, and how can site owners block the crawler?, Anthropic Help Center, lido em 3 de setembro de 2026
- Perplexity Crawlers, documentação da Perplexity, lida em 3 de setembro de 2026
- Block AI Bots, Cloudflare Docs, padrões novos com vigência em 15 de setembro de 2026
- Verified bots and signed agents, Cloudflare Docs, taxonomia de 1 de julho de 2026
- HTTP Message Signatures for automated traffic (draft-ietf-webbotauth-httpsig-protocol-00), IETF Web Bot Auth Working Group, 1 de setembro de 2026
- Designing Agent-Ready Websites for AI Web Agents, Said Elnaffar e Farzad Rashidi, arXiv 2607.12056, 13 de julho de 2026
- Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2), Avital Aviv e coautores, arXiv 2608.23858, agosto de 2026