Blinde a empresa contra injeção de prompt e log órfão

Publicar para máquina ler cria três riscos sem dono. O primeiro é instrução escondida no site que um assistente obedece; o segundo, dado pessoal sem finalidade escrita; o terceiro, log de servidor (o livro de visitas do site) sem prazo. Serve a quem responde pela empresa quando o assistente cita a marca errado ou o jurídico pergunta. O módulo entrega o dono de cada risco, a regra para conteúdo de terceiros e o prazo de log que a lei sustenta.

O curso passou seis etapas ensinando a tornar o site legível por máquina: HTML limpo, dados estruturados, respostas diretas, acesso liberado aos robôs de citação. Cada decisão dessas aumenta a chance de um agente ler a página inteira e agir com base nela. É essa a propriedade que abre o vetor da caixa A para a caixa C na figura: legibilidade por agente e superfície de injeção crescem juntas.

Injeção de prompt (prompt injection) é a instrução hostil escondida num texto que o modelo vai ler, escrita para que ele a trate como ordem do operador em vez de dado a resumir.

A direção 1 do diagrama é a que envergonha: alguém insere instruções no seu domínio, o robô de citação leva, e o agente de um terceiro obedece. Ele fala em nome de uma fonte com o seu logotipo. O dano é de procedência, o ativo que o GEO constrói. E a página fica no índice de citação por semanas depois da remoção, porque ninguém publica o ciclo de recoleta.

A direção 2 é a que causa prejuízo mensurável. Quem opera agente para monitorar concorrente, resumir pauta ou classificar lead manda um programa ler texto escrito por qualquer pessoa da internet. Se esse programa tem ferramenta com efeito colateral (e-mail, CRM, chamado, base interna), uma instrução plantada numa página vira ação.

A combinação perigosa tem três ingredientes simultâneos: acesso a conteúdo não confiável, acesso a dado sensível e capacidade de comunicação externa. Retire qualquer um dos três e o pior caso deixa de existir.

Sobre a incidência real, o que existe de medido até 07/09/2026 é pouco e é recente. O Common Crawl analisou em 31/08/2026 os 584.107 arquivos llms.txt (o arquivo de texto "para IA" que plugins de SEO geram sozinhos) do rastreamento de julho e encontrou dez casos de injeção de prompt. Achou também sites que negam robôs no llms.txt sem bloqueá-los no robots.txt, o arquivo que os robôs consultam de verdade.

Para páginas comuns não há levantamento público com método publicado. Trate o risco pelo mecanismo, que é claro e reproduzível; taxa de ocorrência ninguém publicou.

Dois fatos mudam a higiene. O Perplexity-User, robô que busca uma página quando um usuário do Perplexity pede, "geralmente ignora" o robots.txt, segundo a documentação da empresa. O comentário hostil chega ao agente mesmo com o site "bloqueado", e o único controle real é regra de servidor ou WAF (o filtro de tráfego na borda do site). Bloquear na borda tem custo: o OAI-AdsBot, que valida a página de destino dos anúncios no ChatGPT, também é barrado, e o anúncio reprova.

O segundo fato é o alerta da Anthropic, de 30/08/2026, sobre roubo de sessões do Claude por infostealer, o programa que rouba senhas e cookies do computador. A conta que opera o seu agente é alvo, e a direção 2 começa antes da página: começa na máquina de quem opera.

Exemplo trabalhado. O cenário: um portal de conteúdo B2B com comentários abertos, cujas páginas são fonte frequente de citação em assistentes. A decisão foi manter os comentários, porque eles alimentam profundidade de página e sinal de comunidade, e cercá-los. Cada regra abaixo traz o motivo, porque política de moderação copiada sem motivo é abandonada no primeiro pico de volume.

A segunda metade trata do dado pessoal que o funil de GEO já coleta, do formulário de lead ao log do servidor. Dado pessoal é a informação que leva a uma pessoa, como o crachá que identifica quem entrou no prédio. A regra que protege a empresa é escrever, antes de coletar, para que serve cada dado, por quanto tempo fica e quem o apaga.

Presumir consentimento genérico para tudo é o hábito do marketing que mais gera passivo. Consentimento vale só com registro de quando e como a pessoa aceitou, e caixa pré-marcada não conta como aceite.

O log de servidor, o livro de visitas que registra cada acesso, costura este módulo com a medição. A primeira camada do método de medição manda guardar log bruto por pelo menos 90 dias, para separar robô de treino de robô de citação e achar o acesso negado servido em silêncio.

Esse log contém endereço IP, e IP que leva a uma pessoa é dado pessoal. A base para guardá-lo existe e cobre o período. O Marco Civil da Internet obriga, no art. 15, o provedor de aplicações constituído como empresa a guardar os registros de acesso por seis meses. Guardar 90 dias com prazo declarado é mais fácil de defender do que apagar antes do prazo.

Em setembro de 2026 não há lei específica de inteligência artificial em vigor no Brasil. O PL 2338/2023, o marco regulatório da IA, ficou para depois das eleições de outubro, segundo o relator Aguinaldo Ribeiro em 24/08/2026, e a ficha oficial do Congresso segue em "Aguardando Parecer do Relator".

O precedente que interessa a quem publica conteúdo é o do CADE. Em 23/04/2026 o Tribunal abriu, por unanimidade, processo administrativo contra o Google por possível abuso de posição dominante no uso de conteúdo jornalístico, com os AI Overviews no escopo. Em 11/08/2026 a Superintendência-Geral rejeitou o pedido do Google de ouvir testemunhas. É a discussão brasileira sobre quem paga pelo conteúdo que a IA resume.

Para quem opera na Europa, a referência mudou em 31/08/2026. A Comissão Europeia designou o ChatGPT como motor de busca de grande porte (VLOSE) sob o DSA, a lei europeia de serviços digitais, com prazo até janeiro de 2027 para auditoria independente, acesso de dados a pesquisadores e repositório público de anúncios.

Consent Mode é o modo do Google em que as tags enviam o estado do aceite em vez de simplesmente não dispararem, como um porteiro que anota "visitante sem crachá" em vez de não anotar nada. Isso permite ao Google preencher parte da lacuna com modelagem.

Dois avisos raramente aparecem no material comercial. A modelagem exige volume mínimo de dados, então site pequeno costuma ficar com o buraco. E a implementação não recupera o que já passou: o degrau na série existe a partir da data em que o banner subiu.

Na segunda-feira, nomeie os três donos por e-mail e peça a finalidade e o prazo de guarda dos três tratamentos de maior volume. Confira em 14 dias: três nomes, dez URLs varridas e um prazo de log em dias.