O caminho mais comum de saída de dado sensível é o campo de texto

Entrada: o usuário cola informação que não deveria sair do ambiente. É o vetor mais frequente e o único em que a intenção costuma ser legítima.

Injeção: uma instrução escondida dentro de um documento processado manipula o comportamento do sistema. O usuário não participa e, muitas vezes, não percebe.

Saída: o sistema devolve a um usuário informação que ele não tinha direito de ver. Aqui o problema não é o que entrou, e sim a ausência de herança de permissão na resposta.

Os três vetores exigem controles diferentes e costumam ser tratados como um só problema. É por isso que empresas com política madura sobre o que pode ser enviado continuam expostas pelos outros dois caminhos, que não dependem do comportamento de quem digita.

Prompt injection é o caso em que um texto processado pelo sistema contém instruções que ele passa a seguir como se viessem do usuário.

Um currículo com uma linha escondida, uma página web resumida, um e-mail encaminhado com conteúdo de terceiro. Qualquer material externo é candidato, porque o sistema não distingue conteúdo de comando por padrão.

A consequência prática varia com o que o sistema pode fazer. Se ele apenas responde, o dano é de resposta errada; se ele executa ação, o dano é operacional.

Para entrada: classificação de dado, alerta antes do envio e — sobretudo — alternativa aprovada. Sem a terceira, as duas primeiras apenas atrasam a mesma decisão.

Para injeção: escopo restrito, desconfiança explícita de conteúdo externo e validação da ação antes que ela produza efeito. O NIST AI RMF, no perfil de IA generativa, trata esse tipo de manipulação como risco a ser gerido com controle e monitoramento, não com aviso ao usuário.

Para saída: herança de permissão do usuário e citação de fonte na resposta. A citação cumpre duas funções, porque permite conferir a informação e revela quando o sistema alcançou algo que não deveria.

Nenhum dos três controles é suficiente sozinho. Uma implantação que resolve apenas a entrada mantém aberta a via de injeção; uma que resolve apenas a saída não impede o envio inicial do documento que não deveria ter saído.

A regra que funciona é curta, memorizável e chega no momento do uso, com exemplo concreto em vez de princípio abstrato.

Norma de doze páginas no intranet não muda o que é colado às onze da noite. O texto pode estar tecnicamente perfeito e ainda assim não participar da decisão que importa.

Considere uma empresa que substitui o aviso genérico por uma linha específica exibida na ferramenta aprovada. O conteúdo da regra não muda; o que muda é a distância entre a regra e o momento em que a pessoa age.

Tentativas de envio bloqueadas, incidentes reportados espontaneamente e casos em que a citação de fonte revelou alcance indevido. Os três medem vetores diferentes.

O art. 46 da LGPD exige medidas de segurança aptas a proteger dado pessoal, e aptidão se demonstra com registro, não com descrição de intenção em documento de política.

Queda no reporte espontâneo merece leitura cuidadosa: pode significar menos incidentes ou menos disposição para reportá-los, e a diferença entre as duas hipóteses só aparece quando se pergunta.