O assistente do seu site fala por você

Cada vez mais empresas colocam um assistente no site ou no app. Ele responde à noite, em todos os idiomas, e nunca perde a paciência. Também fala em nome da empresa, fica na internet aberta, onde qualquer pessoa pode digitar qualquer coisa nele, e por trás dele costuma haver um banco de dados, um conjunto de chaves e uma conexão com outros sistemas.

Isso o torna uma questão de segurança, não só de marketing. Os casos dos últimos dois anos mostram três maneiras de dar errado: o assistente promete o que a empresa nunca ofereceu, é convencido a dizer o que não deveria e os dados por trás dele vazam.

Ele fala por você

O caso mais citado é o da Air Canada. Depois de uma perda na família, um passageiro, Jake Moffatt, perguntou ao chatbot do site da companhia sobre tarifas reduzidas. O chatbot sugeriu que ele poderia comprar uma passagem e pedir a tarifa por luto depois. A política da companhia não permitia isso, e ela recusou. Diante do Civil Resolution Tribunal da Colúmbia Britânica, em fevereiro de 2024, a Air Canada argumentou que o chatbot era uma entidade jurídica separada, responsável pelos próprios atos. O membro do tribunal, Christopher Rivers, discordou: o chatbot era “apenas mais uma parte do site da Air Canada”. A companhia foi condenada a pagar 812 dólares canadenses.

O valor foi pequeno. O princípio, não: o que o assistente diz no seu site foi você que disse. Em abril de 2025, os criadores do editor de código Cursor aprenderam a mesma lição em público. O bot de suporte deles, que assinava como Sam, disse aos usuários que uma assinatura não podia ser usada em várias máquinas ao mesmo tempo. Não existia essa regra. Um dos cofundadores, Michael Truell, escreveu que a resposta tinha vindo de um bot de suporte com IA e estava errada, e que as respostas de IA no suporte por e-mail agora são claramente identificadas.

Qualquer pessoa pode digitar qualquer coisa

Em dezembro de 2023, um usuário mandou o assistente do site de uma concessionária Chevrolet em Watsonville, na Califórnia, construído sobre o ChatGPT, concordar com tudo o que o cliente dissesse e terminar cada resposta chamando-a de oferta juridicamente vinculante. Depois pediu um Tahoe 2024 por um dólar, e o bot concordou. Nenhum carro mudou de dono, e a concessionária desligou o chatbot. Em janeiro de 2024, um cliente da empresa de entregas DPD conseguiu que o chatbot dela dissesse palavrões, escrevesse um haicai chamando a si mesmo de inútil e chamasse a DPD de pior empresa de entregas do mundo. A DPD atribuiu o caso a um erro após uma atualização do sistema e desativou o elemento de IA.

Esses foram constrangimentos. O seguinte foi uma falha de segurança. Em agosto de 2025, pesquisadores da Cybernews mostraram que a assistente de suporte da Lenovo, Lena, podia ser levada a produzir HTML malicioso com um único prompt de cerca de 400 caracteres. O código enviava cookies de sessão ao atacante, e com o cookie de um atendente um atacante podia entrar no sistema de suporte como esse atendente. A Lenovo corrigiu a falha. Um analista do Everest Group tirou a lição: tratar os chatbots como aplicações completas, não como pilotos de IA.

O que fica por trás da janela de chat

Alguns dos piores casos não precisaram de nenhum prompt engenhoso. Vieram dos sistemas por trás do assistente. No fim de junho de 2025, os pesquisadores Ian Carroll e Sam Curry examinaram o McHire, a plataforma de recrutamento que o McDonald's usa com a Olivia, uma assistente feita pela Paradox.ai. Um login de administrador aceitava 123456 como usuário e como senha. A partir dali, mudar um número em uma requisição abria os registros do que eles contaram como mais de 64 milhões de candidatos: nomes, endereços de e-mail, telefones, endereços residenciais e os tokens para ler seus chats. O login parou de funcionar menos de duas horas depois do aviso deles.

Em agosto de 2025, atacantes roubaram os tokens de acesso do Drift, uma ferramenta de chat que empresas usam em seus sites, e os usaram para exportar dados dos sistemas Salesforce aos quais ele estava conectado. O grupo de inteligência de ameaças do Google os viu vasculhar os dados roubados em busca de senhas e chaves de nuvem. A Cloudflare, que usava o chatbot do Drift no próprio site, encontrou 104 de seus tokens de API em chamados de suporte em que clientes os tinham colado, e trocou todos eles.

E em março de 2026, a Security Magazine informou que o pesquisador Jeremiah Fowler tinha encontrado três bancos de dados desprotegidos por trás da assistente de atendimento ao cliente com IA da Sears Home Services, com 3,7 milhões de registros: históricos de chat, gravações e transcrições de ligações, nomes, endereços e telefones. Algumas gravações duravam até quatro horas, porque a linha tinha ficado aberta depois da ligação.

Do que um assistente seguro precisa

Nada disso é motivo para desligar o assistente. É motivo para construí-lo como qualquer outra aplicação exposta à internet, com algumas regras próprias.

Dados delimitados. O assistente vê o conteúdo público e, depois do login, apenas os registros da pessoa com quem está falando. A verificação de quem pode ver o quê roda nos seus sistemas, não no modelo. A OWASP diz isso com todas as letras: a autorização não deve ser delegada ao modelo de linguagem.

Nenhum segredo ao alcance. As instruções por trás de um assistente devem ser tratadas como públicas, porque podem ser extraídas. Chaves, senhas e dados de conexão não pertencem a elas, e os tokens da própria ferramenta são mantidos restritos e trocados com regularidade.

Limites firmes. Preços, descontos, reembolsos e compromissos vêm dos seus sistemas, não do modelo. O assistente pode explicar uma política. Não pode mudá-la. A saída dele também é tratada como não confiável, para que nunca consiga inserir código em uma página.

Proteções fora do modelo. Uma verificação separada do que entra e do que sai, porque um prompt de sistema pedindo boas maneiras é um desejo, não um controle.

Registros com cuidado. Cada conversa e cada ação são registradas, para que um erro possa ser encontrado e explicado. Esses registros também contêm dados pessoais, então precisam de controle de acesso, criptografia e data de exclusão.

Um caminho até uma pessoa. Quando o assistente não tem certeza, quando o cliente está irritado, quando há dinheiro ou uma promessa envolvidos, ele passa a conversa a alguém que pode decidir. A IA pode assumir as perguntas de rotina a qualquer hora. Discernimento, boa vontade e a responsabilidade por uma promessa são as partes que uma empresa deve manter humanas.

Testes e identificação. Tente quebrá-lo antes do lançamento e depois de cada atualização, com os truques acima: encenação de papéis, instruções escondidas, pedidos de desconto. E diga que se trata de uma máquina. O comissário de proteção de dados da Suíça diz que as pessoas têm o direito de saber quando estão lidando com uma, e as regras de transparência do AI Act da UE, que exigem o mesmo, estão em vigor desde 2 de agosto de 2026.

Como construímos

Construímos assistentes com as mesmas regras. O Twin, o cérebro da empresa que construímos para clientes, responde a um cliente com o trecho do manual como fonte, trata uma devolução pela política da própria empresa e passa a conversa a uma pessoa quando não tem certeza. O acesso é por função, e cada etapa é registrada.

O Studio, onde uma empresa gerencia o próprio site e o seu marketing, tem proteção embutida contra instruções injetadas, e o assistente dele redige enquanto uma pessoa decide. Para dados que não podem sair da empresa, o Eigna, desenvolvido pelo nosso parceiro Eigna Labs, roda como um modelo privado na nuvem da própria empresa ou em seus próprios servidores, treinado para recusar invasões e ataques.

Uma empresa com um assistente no ar pode começar com cinco perguntas. O que ele consegue ver? O que ele pode prometer? Quais segredos ele poderia alcançar? Quem lê os registros dele? E quando foi a última vez que alguém tentou quebrá-lo?