A mensagem oculta que interrompeu a verificação
Ao rastrear sites populares em busca de scripts de browser-fingerprinting, um pesquisador descobriu um script incomum com nomes suspeitos e caracteres invisíveis. Este script, encontrado em um dos 10.000 sites mais acessados da internet, continha elementos aparentemente benignos ao lado de conteúdo oculto perturbador.
Decodificar os caracteres invisíveis revelou uma instrução falsa repleta de tópicos que acionam gatilhos de segurança. Este texto oculto incluía linguagem relacionada a venenos, como ricina e fentanil, ao lado de termos politicamente sensíveis, como Praça da Paz Celestial, especificamente direcionados a modelos de IA chineses.
O propósito aparente do script era o fingerprinting anti-bot comum, coletando dados como user agents e fornecedores de GPU. No entanto, o texto adicionado serviu a uma função adversária distinta: fazer com que a análise de IA falhasse ao acionar filtros de segurança.
Quando testados, modelos de fronteira comerciais como o GPT-6 Astra da OpenAI e o Claude Opus 5.5 bloquearam imediatamente a análise devido a essas palavras-chave incorporadas. Nem mesmo o programa Daybreak Blue da OpenAI para trabalho de segurança aprovado conseguiu contornar as recusas do Astra.
Por outro lado, modelos de código aberto e chineses — incluindo DeepSeek, GLM e Kimi — processaram o script sem problemas. O GLM 5.3 identificou com sucesso os nomes dos venenos como consultas de variáveis matematicamente inofensivas e desofuscou totalmente o código, demonstrando uma divergência crítica no comportamento da IA.
Quando as proteções de segurança se tornam uma venda
Pesquisadores testaram subsequentemente o script em vários modelos de linguagem grande (LLMs). Os resultados revelaram uma divergência acentuada: modelos de fronteira comerciais como o GPT-6 Astra da OpenAI e o Claude Opus 5.5 e Fable 5.1 da Anthropic recusaram-se a processar o código completamente ou interromperam a análise no meio do caminho, citando violações de segurança. O Astra, por exemplo, sinalizou o código por "possível risco biológico" e recusou-se a prosseguir.
Esses resultados destacam uma limitação crítica. Mesmo com níveis de acesso especializados, como o Daybreak Blue da OpenAI — projetado para trabalho de segurança aprovado —, os modelos mantiveram sua recusa, exigindo o nível superior Daybreak Red para uma possível substituição. No entanto, modelos de código aberto e do ecossistema chinês — especificamente DeepSeek, GLM e Kimi — analisaram o código sem incidentes, desofuscando com sucesso o script apesar das palavras-armadilha incorporadas.
Este mecanismo de recusa cria uma negação de análise, efetivamente cegando scanners de segurança automatizados. Quando um sistema baseado em LLM encontra tal script, suas proteções de segurança podem impedi-lo de inspecionar o restante de um arquivo suspeito, deixando códigos potencialmente maliciosos sem exame. Embora versões de modelos, prompts específicos e níveis de acesso possam influenciar o comportamento, os resultados observados demonstram uma vulnerabilidade onde os filtros de segurança se tornam uma venda explorável.
Um truque que atacantes e defensores podem usar
Atacantes podem usar strings que acionam recusas para interromper a triagem de segurança baseada em IA. Ao incorporar comentários ou nomes de variáveis que fazem referência a riscos biológicos ou tópicos políticos sensíveis dentro de malware, eles podem induzir modelos de linguagem grande (LLMs) comerciais a recusar ou interromper o processamento antes de chegar ao código prejudicial. Isso cria um efeito de negação de serviço contra a análise estática orientada por IA, efetivamente cegando pipelines de segurança automatizados.
Por outro lado, os defensores empregam uma tática semelhante com context bombs em canary tokens. Essas strings curtas e ocultas são projetadas para fazer com que um agente de IA interrompa uma intrusão após encontrar uma isca plantada. Por exemplo, a Tracebit, uma empresa de segurança dos EUA, relatou sucesso significativo usando context bombs em ataques simulados.
Os testes da Tracebit envolveram cinco modelos líderes em uma conta de nuvem corporativa falsa em 152 execuções de ataque. O Claude Opus 4.8, que obteve acesso administrativo total em 93% das execuções normais, alcançou zero vezes com uma única context bomb plantada. Em todos os modelos, o acesso administrativo caiu de 57% das execuções para 5%.
Essa técnica explora o comportamento do modelo em vez de identificar de forma confiável um invasor. Embora eficaz nos testes relatados pela Tracebit, as context bombs aproveitam as diretrizes de segurança inerentes da IA para transformar os mecanismos de proteção do próprio invasor em um botão de desligamento defensivo. Para mais leituras sobre a descoberta subjacente, veja Why Is This Fingerprinting Script Creating Bioweapons?.
Gostando do artigo? Receba um assim na sua caixa de entrada toda manhã.
um e-mail por dia · cancele em dois cliques · sem rastreadores de terceiros
A solução real é uma análise confiável, não uma brecha
Esse desafio vai além da simples ofuscação; ele expõe uma tensão crítica na segurança de IA. Políticas amplas de recusa, projetadas para evitar o uso indevido, podem inadvertidamente se tornar uma venda para os defensores. O Hugging Face, por exemplo, recorreu a um modelo GLM 5.2 auto-hospedado para resposta a incidentes depois que filtros comerciais de segurança de IA bloquearam a análise de mais de 17.000 ações de invasores, citando uma incapacidade de distinguir entre atividade maliciosa e investigação forense.
A troca é clara: salvaguardas rígidas podem obstruir o trabalho legítimo de segurança, mas afrouxá-las arrisca tornar os modelos mais úteis para os invasores. Enquanto modelos como GPT-6 Astra e Claude Opus se recusaram a analisar scripts suspeitos, modelos abertos como DeepSeek, GLM e Kimi os processaram, identificando os gatilhos de recusa incorporados e prosseguindo com a desofuscação.
As equipes de segurança devem abordar isso proativamente. Teste modelos de IA quanto ao comportamento de recusa contra exemplos adversários conhecidos e possíveis explorações. Implemente abordagens de varredura em camadas que combinam IA com ferramentas tradicionais e, criticamente, revisão humana. Projete fluxos de trabalho forenses que presumam que nenhum modelo único sempre cumprirá, garantindo que a substituição manual e caminhos de análise alternativos permaneçam viáveis. Essa mudança prioriza a análise confiável em vez de proibições gerais, tornando a IA um parceiro mais robusto na defesa.
Perguntas Frequentes
Como um script pode fazer com que uma IA se recuse a analisá-lo?
Ele pode incluir texto oculto ou de isca contendo tópicos que acionam os filtros de segurança de um modelo, fazendo com que o sistema recuse ou pare antes de explicar o código.
O script de fingerprinting em si era malicioso?
A investigação descrita no vídeo encontrou um script de anti-bot e fingerprinting de navegador majoritariamente padrão. Seu texto oculto parecia projetado para obstruir a análise de IA.
Essa técnica pode ser usada por invasores?
Sim. Os invasores podem colocar texto que aciona a recusa em malwares ou arquivos suspeitos para interromper varreduras de segurança e triagens baseadas em IA.
Como as equipes de segurança podem reduzir o risco?
Use vários métodos de análise, preserve a revisão humana, teste ferramentas contra conteúdo que aciona recusa e evite depender de um único modelo ou provedor.