OWASP revela os 10 maiores riscos de segurança da inteligência artificial em 2026

A OWASP (Open Worldwide Application Security Project) apresentou a edição 2026 do Top 10 de riscos de segurança para aplicações baseadas em grandes modelos de linguagem (LLMs). O documento destaca o crescimento das ameaças relacionadas à autonomia dos agentes de inteligência artificial, ao acesso a informações sensíveis e à capacidade desses sistemas de executar ações em ambientes corporativos.

A injeção de prompts (prompt injection) permanece como o principal risco, seguida pela exposição de informações sensíveis. A mudança mais significativa ocorre na categoria Excessive Agency, relacionada à concessão de funcionalidades, permissões ou autonomia excessivas aos sistemas de IA, que passou da sexta para a terceira posição.

A atualização acompanha a expansão do uso de agentes conectados a e-mails, bancos de dados, ambientes de desenvolvimento e serviços em nuvem. Nesses cenários, uma resposta incorreta ou manipulada pode resultar não apenas em informações enganosas, mas também em alterações indevidas, vazamentos de dados e interrupções operacionais.

A OWASP recomenda que as organizações implementem controles de acesso, mecanismos independentes de autorização, restrições sobre ferramentas e limites operacionais capazes de impedir que erros dos modelos sejam convertidos em ações prejudiciais.

Relatório considera mais de 7,7 mil registros de segurança

Pela primeira vez, a classificação combina avaliações da comunidade com uma base expressiva de registros de vulnerabilidades e incidentes relacionados à inteligência artificial.

O projeto reuniu 7.714 registros provenientes de bases públicas de vulnerabilidades e de uma base de danos associados à IA. Desse total, 6.639 continham informações suficientes para classificação.

A metodologia atribuiu peso de 75% à avaliação dos profissionais participantes e 25% às evidências documentadas. Segundo os autores, essa distribuição reconhece que os registros públicos não representam necessariamente a frequência real de cada ameaça.

Os números também não devem ser interpretados como 7.714 ataques maliciosos confirmados contra aplicações de IA, pois incluem diferentes tipos de ocorrências e evidências.

Uma das divergências identificadas envolve a injeção de prompts. Embora tenha permanecido na primeira posição pela avaliação dos especialistas, a categoria ficaria fora das dez principais ameaças caso fossem considerados exclusivamente os registros documentados.

Os autores sugerem que essa diferença pode estar relacionada aos investimentos em mecanismos de defesa, que reduzem a quantidade de explorações bem-sucedidas registradas publicamente. Entretanto, diferenças nos processos de divulgação e classificação também limitam essa interpretação.

Conheça os dez principais riscos de segurança em IA para 2026

Pos.	Risco
1º	Injeção de prompts (Prompt Injection)
2º	Exposição de informações sensíveis
3º	Autonomia e permissões excessivas (Excessive Agency)
4º	Vulnerabilidades na cadeia de suprimentos
5º	Envenenamento de dados e modelos
6º	Consumo ilimitado de recursos
7º	Desinformação e respostas incorretas
8º	Exposição de contexto oculto
9º	Falhas em vetores e embeddings
10º	Tratamento inadequado de saídas

Prompt injection continua sendo a principal ameaça

A injeção de prompts ocorre quando conteúdos processados por um modelo conseguem influenciar seu comportamento e fazê-lo desviar das instruções estabelecidas pela aplicação.

O relatório destaca que essas instruções maliciosas podem ser inseridas em documentos recuperados, páginas da web, e-mails, respostas de ferramentas, imagens, áudios, históricos de conversas e memórias persistentes.

Isso significa que um invasor não precisa necessariamente interagir diretamente com o chatbot. Em determinadas situações, basta inserir conteúdo malicioso em uma fonte que o assistente consulte durante suas atividades.

Um exemplo envolve sistemas corporativos de atendimento. Embora a plataforma utilizada seja legítima, uma solicitação enviada por um cliente pode conter instruções destinadas a manipular o agente de IA responsável por processá-la.

O National Cyber Security Centre (NCSC), do Reino Unido, já havia alertado, em dezembro de 2025, que a injeção de prompts não deve ser tratada como equivalente à injeção de SQL. Diferentemente dos mecanismos tradicionais de separação entre dados e instruções, os LLMs não conseguem manter essa distinção de maneira totalmente confiável.

A OWASP recomenda impedir que conteúdos externos recebam automaticamente autoridade dentro da aplicação. Ações propostas pelo modelo devem passar por verificações independentes de autorização, validação e restrições de acesso.

O documento também alerta para ataques persistentes, nos quais instruções maliciosas armazenadas em sistemas de memória ou bases de recuperação podem afetar sessões futuras.

Permissões excessivas de agentes de IA sobem para terceiro lugar

A categoria Excessive Agency passou da sexta para a terceira posição, refletindo os riscos associados à crescente autonomia dos agentes de inteligência artificial.

A OWASP identifica três causas principais: funcionalidades excessivas, permissões desnecessárias e autonomia além do necessário.

Um assistente desenvolvido apenas para consultar documentos, por exemplo, pode receber ferramentas que também permitem modificar ou excluir arquivos. Da mesma forma, uma conexão com banco de dados pode oferecer permissões de escrita quando a aplicação necessita somente de leitura.

Essas configurações ampliam as consequências de respostas incorretas ou manipuladas, especialmente quando agentes conseguem executar operações sem autorização adicional.

O relatório recomenda aplicar o princípio do menor privilégio, limitar as funcionalidades disponíveis e executar operações respeitando as permissões do usuário solicitante.

Para ações de maior impacto, a aprovação humana deve ser implementada como uma etapa obrigatória do fluxo operacional, e não apenas como uma instrução textual fornecida ao modelo.

A OWASP também orienta organizações que utilizam agentes autônomos a consultar seu Top 10 específico para aplicações agênticas, que aborda riscos envolvendo ferramentas, memória e interação entre componentes.

Exposição de informações sensíveis permanece na segunda posição

O vazamento de informações confidenciais continua entre os riscos mais relevantes para aplicações de IA.

A ameaça não se limita ao envio manual de documentos sigilosos para serviços externos. Dados sensíveis também podem ser incorporados automaticamente ao contexto dos modelos por mecanismos de busca, capturas de tela, registros de execução e ferramentas de diagnóstico.

Informações protegidas em seus sistemas originais podem acabar expostas quando serviços intermediários as transferem para o contexto de um assistente sem preservar as restrições de acesso.

A OWASP recomenda limitar os dados disponibilizados ao modelo e verificar as permissões antes de recuperar documentos ou informações corporativas.

O relatório também destaca a necessidade de proteger logs e rastros de execução, que podem armazenar prompts, documentos consultados e respostas contendo informações confidenciais.

Cadeia de suprimentos e envenenamento de modelos ampliam riscos

Os ataques à cadeia de suprimentos aparecem na quarta posição. A categoria inclui dependências de software, modelos pré-treinados, conjuntos de dados, adaptadores e plataformas utilizadas para preparar e distribuir sistemas de IA.

O documento menciona o incidente envolvendo o pacote malicioso torchtriton, distribuído pelo Python Package Index em dezembro de 2022 e associado a instalações noturnas do PyTorch para Linux. As versões estáveis não foram afetadas.

A OWASP recomenda manter inventários de modelos, datasets e componentes, verificar sua procedência e utilizar mecanismos de integridade e assinatura digital.

Entretanto, ressalta que uma assinatura válida não garante que determinado modelo esteja livre de comportamentos maliciosos.

Na quinta posição, o envenenamento de dados e modelos envolve a manipulação de informações utilizadas no treinamento, ajuste ou funcionamento de sistemas de IA.

Esses ataques podem introduzir comportamentos prejudiciais que permanecem ocultos durante operações normais e aparecem somente diante de condições específicas.

O relatório recomenda rastrear a origem dos dados e modelos utilizados, permitindo identificar componentes potencialmente contaminados e determinar quais sistemas precisam de correção.

Consumo excessivo de recursos representa risco financeiro

O consumo ilimitado de recursos subiu da décima para a sexta posição.

A categoria considera operações que utilizam capacidade computacional excessiva, chamadas repetidas a serviços pagos e agentes que executam tarefas sem condições claras de encerramento.

Esses problemas não dependem necessariamente de ataques externos. Uma atividade legítima pode entrar em um ciclo de execução, acionar ferramentas repetidamente e gerar custos inesperados.

A OWASP recomenda estabelecer limites obrigatórios de gastos, quantidade de etapas, profundidade de recursão e tempo de execução.

A orientação diferencia mecanismos que efetivamente interrompem operações de alertas que apenas notificam administradores depois que os recursos já foram consumidos.

Respostas incorretas podem provocar falhas operacionais

A desinformação passou da nona para a sétima posição, abrangendo respostas falsas, resumos enganosos, descrições incorretas do estado de sistemas e evidências sem sustentação.

O risco aumenta quando essas informações são utilizadas para orientar decisões humanas ou executar ações automatizadas.

Um agente pode, por exemplo, informar incorretamente que um backup foi concluído ou interpretar uma política de atendimento de maneira equivocada. Em operações de segurança, uma avaliação incorreta pode resultar no bloqueio de atividades legítimas.

A OWASP recomenda validar afirmações relevantes utilizando fontes confiáveis e informações atualizadas.

A orientação é semelhante à apresentada pelo NIST em seu perfil de riscos para IA generativa, publicado em julho de 2024, que aborda os impactos de respostas incorretas produzidas com aparente confiança.

Exposição de contexto oculto substitui vazamento de prompts de sistema

Na oitava posição, a categoria anteriormente conhecida como System Prompt Leakage foi ampliada e renomeada para Hidden Context Exposure.

O risco envolve a extração ou reconstrução de instruções internas, políticas, descrições de ferramentas e outras informações utilizadas para orientar o comportamento do modelo.

A OWASP recomenda considerar que conteúdos acessíveis ao sistema de IA podem eventualmente ser descobertos por usuários ou invasores.

Por esse motivo, senhas, tokens e credenciais não devem ser armazenados em prompts, enquanto decisões críticas de autorização precisam depender de controles externos ao modelo.

Falhas em embeddings e saídas de IA completam o ranking

A nona posição é ocupada pelas vulnerabilidades relacionadas a vetores e embeddings, representações numéricas utilizadas para identificar similaridades entre conteúdos.

Esses mecanismos são comuns em aplicações que utilizam geração aumentada por recuperação (RAG), sistemas de memória e mecanismos de busca semântica.

Entre os riscos estão a exposição de informações entre diferentes clientes, a manipulação de resultados e a possibilidade de inferir dados a partir das representações armazenadas.

A OWASP recomenda aplicar controles de acesso durante a própria pesquisa, evitando que informações não autorizadas sejam consultadas antes da filtragem dos resultados.

Na décima posição aparece o tratamento inadequado das saídas dos modelos, que caiu da quinta colocação.

A categoria envolve situações em que respostas geradas por IA são encaminhadas diretamente para comandos de sistema, consultas a bancos de dados, páginas web ou outros componentes sem validação adequada.

O relatório recomenda utilizar validação rigorosa, consultas parametrizadas, codificação apropriada e controles sobre o carregamento automático de recursos externos.

Segurança de IA passa a exigir controles além dos modelos

A edição 2026 do OWASP Top 10 enfatiza que proteger aplicações de inteligência artificial exige mais do que ajustar prompts ou avaliar a qualidade das respostas.

As organizações precisam identificar quais informações cada agente pode consultar, quais sistemas pode modificar, quais credenciais utiliza e quais ações consegue executar autonomamente.

O documento recomenda mapear fontes de dados, versões de modelos, ferramentas conectadas, mecanismos de memória, registros de execução e integrações externas.

Para equipes de segurança, os testes devem considerar toda a cadeia operacional, incluindo a possibilidade de conteúdos manipulados alcançarem ferramentas com privilégios elevados.

A principal orientação é implementar controles verificáveis e independentes dos modelos, garantindo que permissões, autorizações, custos e operações críticas permaneçam dentro de limites definidos pela organização.