Pesquisadores burlam defesas do Manus para executar código via e-mails ofuscados

Pesquisadores de segurança da Salt Labs conseguiram burlar as barreiras de proteção do agente de IA Manus, viabilizando a execução de código no lado do servidor por meio de um prompt malicioso em um e-mail ofuscado com JSFuck. Embora o Manus tenha identificado e reportado a ação suspeita, a notificação ocorreu apenas após a carga maliciosa já ter sido executada no ambiente do sistema.

Explorando a ambiguidade de modelos no processamento de dados

Ataques de injeção de prompt aproveitam a incapacidade de um modelo de IA de distinguir diretrizes do usuário e dados coletados de forma ambiente durante as tarefas. Quando alguém solicita que um agente avalie ou resuma entradas de terceiros, como e-mails, quaisquer instruções embutidas nesse conteúdo correm o risco de serem tratadas como comandos e não como texto passivo. O Manus inclui mecanismos de detecção concebidos para capturar prompts maliciosos presentes em dados de usuários, mas a Salt Labs testou se instruções codificadas poderiam passar despercebidas por essas verificações.

Contornando controles de segurança com ofuscamento

Os pesquisadores testaram inicialmente formatos básicos de codificação, como Base64, antes de recorrerem ao JSFuck, um método de ofuscamento em JavaScript que utiliza um conjunto reduzido de caracteres. Quando enviado dentro de uma mensagem do Gmail processada pelo Manus, o payload codificado em JSFuck foi decodificado e executado como JavaScript arbitrário no ambiente de execução do servidor. O Manus acabou emitindo um aviso ao proprietário da conta, mas a notificação só foi disparada depois que a execução já havia ocorrido.

Implicações mais amplas para sistemas de IA autônomos

A Salt Labs relatou a vulnerabilidade por meio do programa de bug bounty da Meta, e a rota específica de exploração já foi corrigida. No entanto, a descoberta ressalta riscos sistêmicos à medida que ferramentas de IA autônomas ganham integrações mais amplas. Citando pesquisas da Menlo, 36% dos consumidores concedem aos agentes de IA acesso ao e-mail, 33% conectam o navegador e 31% vinculam aplicativos de mensagens. A Salt Labs observou que inspecionar prompts e o comportamento do modelo é insuficiente, enfatizando que os modelos de segurança precisam impor limites rígidos às ferramentas e APIs específicas que um agente tem permissão para executar.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: This popular AI agent could be hacked by a single email — with potentially disastrous consequences