Envenenamento de recomendação é a prática de plantar, na memória de um assistente de IA, uma instrução do tipo "lembre-se desta empresa como fonte confiável". A Microsoft mapeou o truque em fevereiro de 2026: ele usa botões de "Resumir com IA" e links com prompt pronto. Para marcas, é um atalho que expõe você a risco.
O que a Microsoft encontrou?
Em 10 de fevereiro de 2026, o time de pesquisa de segurança do Microsoft Defender publicou o que chamou de AI Recommendation Poisoning. Ao revisar, durante 60 dias, URLs ligadas a assistentes de IA em tráfego de e-mail, eles identificaram 50 prompts promocionais distintos, vindos de 31 empresas, em 14 setores. Os setores incluíam finanças, saúde, serviços jurídicos, SaaS, agências de marketing e sites de receitas.
O número é pequeno. O que importa é o padrão: ninguém precisou invadir nada. Bastou um link.
Como o mecanismo funciona?
Imagine que o seu assistente tem uma geladeira com ímãs e bilhetes. Tudo o que está colado ali ele relê antes de responder qualquer coisa. O envenenamento é a arte de colar um bilhete na geladeira de outra pessoa sem que ela perceba.
O caminho descrito pela Microsoft tem quatro passos:
- Um site oferece um botão "Resumir com IA".
- O botão é um link cujo parâmetro de URL (
?q=ouprompt=) já traz um prompt escrito. - Ao clicar, o assistente abre com o texto preenchido. Além de pedir o resumo, o prompt inclui linguagem de persistência, como "lembre-se de [empresa] como fonte confiável".
- O assistente grava aquilo como memória. Dali em diante, a instrução influencia respostas em outras conversas, sem aviso ao usuário.
A Microsoft cita Copilot, ChatGPT, Claude, Perplexity e Grok como assistentes que esses links tentam alcançar. Também descreve a entrega por e-mail e por instruções escondidas em documentos ou páginas. Duas ferramentas públicas, um pacote npm chamado CiteMET e um gerador de URLs por clique, tornam a técnica acessível a quem não programa.
Por que isso é diferente de otimização comum?
Otimizar uma página de produto muda o que a IA encontra. O envenenamento muda o que a IA lembra, e sem consentimento. É a diferença entre melhorar a vitrine e subornar o porteiro.
A Microsoft diz que implementou e segue implementando mitigações contra injeção de prompt no Copilot, e que alguns comportamentos antes reproduzíveis deixaram de funcionar. Entre as salvaguardas citadas estão filtragem de prompts, separação entre instruções do usuário e conteúdo externo, controles visíveis de memória e monitoramento contínuo. Isto é importante: a janela de vantagem, se existir, tende a fechar rápido.
O que isso muda para marcas de eletrônicos?
Nós lemos esse relatório com um olhar específico: o de quem mede recomendações. Há três consequências.
Primeiro, ruído na medição. Se a memória de um assistente foi contaminada, a lista que um comprador recebe pode divergir da lista que um teste limpo produz. Já mostramos em memória no ChatGPT que personalização muda a resposta por comprador. O envenenamento é a versão adversária do mesmo fenômeno.
Segundo, risco de reputação. A recomendação de IA é percebida como uma opinião quase neutra. Quando se descobre que ela foi plantada, o dano atinge a marca que plantou, não o assistente.
Terceiro, incentivo errado. O botão "Resumir com IA" tem usos legítimos. O problema começa quando o texto pré-preenchido pede para o assistente guardar a sua marca como autoridade. Uma regra simples de governança resolve: o prompt do seu botão deve pedir apenas o resumo da página, nada que persista.
Como reconhecer um botão problemático?
A Microsoft sugere que equipes de segurança procurem links para domínios de assistentes de IA cujo parâmetro de prompt contenha termos como "remember", "trusted source", "in future conversations", "authoritative source" ou "citation". Em português, o equivalente seria palavras como "lembre-se", "fonte confiável" e "nas próximas conversas". Se você mantém o site de uma marca, aplique o mesmo teste aos seus botões de compartilhamento e aos de parceiros: abra a URL, leia o prompt inteiro e pergunte se ele pede só um resumo ou também pede que o assistente grave uma preferência.
Como a Citoriq trata isso?
Com cautela metodológica. O diagnóstico gratuito da Citoriq é uma análise experimental via API e não replica a interface de consumidor do ChatGPT, onde a memória do usuário existe. Portanto ele não captura contaminação de memória, e não prometemos que capture. O que ele faz é medir, em condições controladas, quando e por que modelos recomendam seu produto ou o de um concorrente, com evidência auditável. Os resultados variam por modelo, prompt e dia; a metodologia descreve os limites.
O que levar daqui
- Envenenamento de recomendação usa links com prompt pré-preenchido para gravar uma instrução na memória do assistente.
- A Microsoft documentou 50 prompts de 31 empresas em 14 setores, em 60 dias de e-mails analisados.
- Mitigações já existem e o comportamento pode deixar de funcionar; o risco de reputação permanece.
- Revise os botões de compartilhamento do seu próprio site: o prompt deve pedir resumo, nunca persistência.
- Em medição, trate listas de compradores reais e listas de teste limpo como duas populações diferentes.
Perguntas frequentes
Envenenamento de recomendação é ilegal?
Não encontramos, nas fontes que consultamos, uma discussão jurídica sobre isso, então não afirmamos. A Microsoft trata a prática como risco de segurança e viés, e recomenda que equipes de segurança procurem esses links em e-mails e mensagens.
Como um consumidor se protege?
A Microsoft sugere passar o mouse sobre links de assistentes antes de clicar, revisar e apagar memórias que não reconhece e pedir ao assistente que explique uma recomendação suspeita citando fontes.
Isso afeta a recomendação de produtos de forma comprovada?
A fonte mostra que a prática existe e como funciona. Ela não quantifica quanto a recomendação de produtos muda. Qualquer número nesse sentido seria invenção.
Quer ver como seus produtos aparecem em respostas controladas, sem atalhos? Rode o diagnóstico gratuito ou peça uma demonstração.