Prompt injection, jailbreak, sandbox e o que só código garante.
A superfície de ataque de um sistema com IA não é a do software tradicional: a entrada é linguagem, e linguagem instrui. Prompt injection é o risco nº 1 do OWASP LLM Top 10 porque não existe filtro de texto que resolva — o que resolve é limitar o que o sistema PODE fazer. Regra que organiza o tema: o que não pode falhar não pertence ao prompt, pertence à permissão e ao sandbox.
Agrupados pela trilha de origem — o tema atravessa 14 trilhas.
As consultas de maior intenção deste tema, respondidas aqui.
É instrução hostil que chega ao modelo dentro de dado que ele foi mandado ler — uma página, um documento, um comentário. Filtrar não resolve porque a entrada é linguagem e linguagem instrui: não existe lista de palavras que separe "leia isto" de "ignore o que mandaram antes". O que resolve é limitar o que o sistema PODE fazer, por permissão e sandbox.
No jailbreak é o próprio usuário tentando fazer o modelo violar as regras dele; no prompt injection é um terceiro escondendo instrução em conteúdo que o sistema vai ler. A distinção importa porque a defesa é outra: jailbreak é problema de alinhamento e política de uso, injection é problema de arquitetura — quem confia em qual entrada, e com que privilégio.
No código, sempre que a regra não puder falhar. Guardrail no prompt é pedido: funciona na maioria das vezes e falha silenciosamente quando o modelo é convencido do contrário. Em código — validação de saída, permissão de ferramenta, gancho de pós-execução — é fato verificável. A regra prática: prompt para preferência, código para requisito.