Dark Sourcery: Páginas Web Envenenadas, 374 Marcas e Respostas que Ninguém Verificou

Em 23 de setembro de 2026, a empresa de segurança Vigilance Security publicou uma pesquisa descrevendo uma campanha ativa que chama de Dark Sourcery: atacantes inundam a web aberta com publicações otimizadas, PDFs, avaliações e páginas de suporte falsas para que o ChatGPT, o Google Gemini e o Google AI Overviews retornem números de telefone, endereços de e-mail e páginas de login fraudulentos como os dados de contato oficiais de uma empresa. A Dark Reading noticiou a pesquisa no mesmo dia, citando Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb e TripAdvisor entre pelo menos 374 empresas envolvidas, com dezenas de milhares de páginas maliciosas por trás delas. Nenhum modelo foi invadido — as páginas envenenadas eram simplesmente aquilo que os modelos liam, e a fraude chegou carregando a própria credibilidade do assistente. Este registro é uma entrada em o OrcaRouter AI Incident Archive, que acompanha incidentes de IA e descobertas de pesquisa com os mesmos campos usados aqui: gravidade, confiança, status contestado e dano real.

O que a Vigilance Security realmente publicou

A pesquisa é um post no Medium de Ariel Simon, vice-presidente de pesquisa da Vigilance, intitulado “Dark Sourcery: Como os hackers manipulam a IA para aplicar golpes em você”, publicado em 23 de setembro de 2026. A matéria do Dark Reading, da escritora colaboradora Elizabeth Montalbano e com carimbo de data/hora de 14:47 UTC daquele dia, contém um link direto para ele e cita Simon ao longo de todo o texto. O post descreve uma operação de conteúdo, e não um exploit: nenhuma vulnerabilidade é explorada, nenhuma credencial é roubada diretamente pelo atacante e nada é enviado a um modelo que um modelo possa aprender a recusar.

A Vigilance afirma ter identificado “dezenas de milhares de páginas maliciosas” contendo números falsos de suporte, endereços de e-mail, páginas de login, informações sobre atualizações de software e outros dados fraudulentos, criadas para influenciar o que os chatbots dizem. Ela estima em “pelo menos 374” o número de empresas envolvidas, descritas como incluindo organizações Fortune 100, grandes companhias aéreas, bancos, empresas de viagens e fornecedores de software. As marcas citadas no relatório da Dark Reading são Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb e TripAdvisor.

Nem o post de pesquisa nem a reportagem que se seguiu apresentam um detalhamento por marca — qual número falso pertencia a qual empresa, quantas páginas envenenadas foram direcionadas a cada uma, ou quando qualquer página individual foi ao ar. O número 374 é apresentado como um total, e o registro o traz da mesma forma.

Simon também cita um estudo da Exploding Topics, publicado em agosto de 2026, constatando que 91% das pessoas que usam chatbots de IA não verificam as respostas fornecidas. Esse número é a premissa da campanha, e não sua medição: ele é citado na pesquisa e repetido pela Dark Reading e pela IANS, e sua própria metodologia não é descrita em nenhuma das reportagens revisadas aqui. Na formulação de Simon, "se os atacantes controlam a IA, e nós confiamos cegamente nela, eles essencialmente nos controlam."

Como o envenenamento é construído

O mecanismo tem três partes, e apenas a primeira pertence ao atacante em qualquer sentido convencional. Primeiro, semear a web com páginas que declarem o detalhe de contato falso. Segundo, fazer com que essas páginas pareçam vir de algum lugar em que um sistema de recuperação deveria confiar. Terceiro, deixar que o assistente faça a citação.

A segunda etapa é onde a Vigilance concentra a maior parte de sua ênfase. “Suspeitamos que domínios de alta autoridade (universidades, governamentais) combinados com fontes de opinião pública (mídias sociais, fóruns, avaliações de usuários) obtiveram alto sucesso envenenando respostas de IA”, disse Simon à Dark Reading. “Dependendo do modelo, a IA analisa a fonte e confia mais no conteúdo se ele vier de uma entidade autoritativa.” Essa é uma descrição de reputação emprestada: uma página universitária comprometida ou abusada fornece a autoridade, e uma série dispersa de posts de fórum e avaliações fornece a aparência de que a alegação é corroborada em outro lugar.

O Ground Truth, um veículo que verifica alegações de IA em relação às suas fontes, resumiu as táticas de semeadura listadas no post de Simon: a mesma informação de contato falsa, ou semelhante, espalhada por posts gerados por usuários, PDFs, páginas hospedadas, avaliações, plataformas de arrecadação de fundos e de empregos, e conteúdo no estilo perguntas e respostas; detalhes ajustados para recuperação com formatação repetida e frases como "24/7" e "updated 2026"; e o mesmo número de telefone renderizado com espaços, pontos, emojis, caracteres Unicode visualmente semelhantes ou palavras escritas por extenso. Essa última técnica cumpre dupla função — derrota a detecção de strings duplicadas enquanto um modelo ainda lê um único número. O Ground Truth descreve o objetivo com precisão: não uma página viral, mas "a aparência de corroboração independente".

A reportagem do GIGAZINE sobre a pesquisa oferece uma ilustração concreta: uma publicação e uma imagem fabricadas de suporte da HP para impressoras, contendo um número de telefone que não era da HP. Trata-se de um exemplo do padrão, e não de um caso auditado, e o veículo atribui o caso à pesquisa da Vigilance, e não a uma investigação própria.

Não é injeção de prompt — mas foi registrado como tal

A distinção importa, e Simon a traça explicitamente. A Dark Reading o cita dizendo que a campanha difere da injeção de prompt “por não envolver o atacante dando à IA instruções ou prompts explícitos, que poderiam ser frustrados por defesas de IA”. Sua formulação mais precisa: “Aqui, a desinformação exibida como fatos está fazendo a IA responder ao usuário com a informação falsa, sem nunca seguir qualquer instrução/prompt do atacante, essencialmente contornando todas as defesas.”

Isso também difere do envenenamento de dados de treinamento, que corrompe o que um modelo aprendeu antes da implantação. Tudo aqui acontece no momento da recuperação, contra a web ao vivo, depois que o modelo foi lançado — e é por isso que nenhum novo treinamento corrige isso e por que a página envenenada pode ser removida sem que a resposta necessariamente mude.

O arquivo arquiva este registro em IPI, sua etiqueta de injeção indireta de prompt. Leia com atenção: a etiqueta e a pesquisa descrevem coisas adjacentes: IPI abrange conteúdo que chega a um modelo indiretamente, dentro de material que o modelo é solicitado a processar, em vez de ser digitado por seu usuário. Dark Sourcery é esse canal com a instrução removida — o payload é um fato, não um comando. A etiqueta é uma decisão de arquivamento sobre o canal; o relato de Simon é uma alegação sobre o payload, e os dois não estão em conflito. O que não se deve ler na etiqueta é uma afirmação de que um prompt de atacante foi entregue, porque, segundo o próprio relato da pesquisa, nenhum foi.

O que o registro estabelece, e o que não estabelece

O arquivo classifica este registro como B — documentado, mas a partir de uma única fonte ou de uma fonte secundária — e essa classificação é a coisa mais útil nele. Nada na cobertura revisada aqui contradiz a pesquisa. O problema não é a contradição; é que a cadeia de evidências se estende por apenas um documento.

• Estabelecido: a Vigilance Security publicou a pesquisa em 23 de setembro de 2026 sob o nome de Simon, e ela apresenta as alegações descritas acima — as 374 empresas, as dezenas de milhares de páginas, as marcas citadas, o mecanismo, a tática de autoridade emprestada.

Estabelecido: a pesquisa foi noticiada no mesmo dia pelo Dark Reading e, dentro de cinco dias, por IANS (24 de setembro), GIGAZINE e Ground Truth (25 de setembro), NEWSru.co.il citando o veículo israelense Israel Defense (27 de setembro), e pelas páginas de pesquisa do fornecedor na Aviatrix (23 de setembro) e na Kronus Intelligence Group (28 de setembro).

• Não comprovado por isso: verificação independente. Cada um desses textos remonta ao post de Simon ou à reportagem da Dark Reading sobre ele, então eles reproduzem as alegações em vez de verificá-las. A segunda URL citada pelo próprio arquivo, bestsec.net, é um resumo de notícias de cibersegurança que é atualizado diariamente; em 26 de outubro de 2026, sua página inicial não trazia nenhum item sobre Dark Sourcery, então o artigo da Dark Reading é a referência duradoura.

• Não estabelecido: a escala. O Ground Truth afirma claramente que “as alegações da divulgação de 374 empresas afetadas e dezenas de milhares de páginas não foram auditadas de forma independente”, e que nenhum conjunto de dados público, corpus de páginas maliciosas ou registro de consultas reproduzível foi divulgado. A análise de 28 de setembro do Kronus Intelligence Group chega à mesma conclusão e propõe o rótulo útil: descrever o mecanismo como estabelecido e a escala como “relatada, mas não verificada”.

• Não estabelecido: reprodutibilidade, segundo relato dos próprios pesquisadores. O Ground Truth relata que Simon descreveu os resultados como estatísticos e disse que eles não se reproduziam todas as vezes que uma consulta era executada. Essa é uma propriedade comum de sistemas com recuperação aumentada — classificações, versões de modelo, localização, momento e formulação mudam — e é também o motivo pelo qual o achado não pôde ser demonstrado sob demanda.

• Não estabelecido: a dimensão do dano. O arquivo registra a existência de dano real, e a base para isso é limitada. Simon disse ao Dark Reading que a Vigilance tinha visto “algumas ocorrências” de pessoas reclamando de terem caído em um golpe e fornecido dados de pagamento ou dados de cartão de pagamento por causa de números fraudulentos fornecidos em respostas de chatbot. Os pesquisadores também ligaram para alguns dos números falsos e falaram com um representante que se ofereceu para “mudar nosso voo” ou “desbloquear nossa conta bancária”, e então pediu os dados do cartão. Nenhuma vítima é nomeada, nenhuma perda é quantificada, e nenhuma reclamação ou ação de fiscalização é citada.

• Não contestado: o arquivo registra a entrada como não contestada, e isso se sustenta — as questões em aberto na cobertura são omissões na divulgação, não discordâncias com ela.

O que as duas plataformas disseram

De acordo com o NEWSru.co.il, citando o Israel Defense, os pesquisadores relataram o comportamento a ambos os fornecedores. A posição relatada do Google foi que esse tipo de desinformação está fora do escopo de seu programa de divulgação de vulnerabilidades. A OpenAI teria encerrado o relatório com o argumento de que as descobertas não podiam ser reproduzidas de forma confiável, dada a variabilidade das respostas dos modelos de linguagem. Ambos os resumos são paráfrases: o artigo não nomeia nenhum porta-voz de nenhuma das empresas, não apresenta citação direta e não data as respostas.

Nenhuma das respostas nega que as respostas envenenadas existem. Lidas como decisões de triagem, e não como refutações, ambas são ao menos internamente coerentes — um bug bounty é criado para recompensar um defeito reproduzível no código, e isto não é reproduzível sob demanda nem é um defeito no código. A página envenenada está no site de outra pessoa. O que a troca demonstra é uma lacuna: o dano é real o suficiente para produzir vítimas, e o comportamento é variável o suficiente para falhar em um teste de reprodução, então ele cai no espaço entre "vulnerabilidade de segurança" e "problema de conteúdo", onde nenhum canal de divulgação está esperando por ele.

Nem a OpenAI nem o Google haviam confirmado ou refutado publicamente o número de 374 empresas até a análise da Kronus de 28 de setembro, e nenhuma declaração de qualquer das duas empresas aparece em qualquer uma das reportagens revisadas aqui.

O que mudou depois

Nenhuma mudança de plataforma foi anunciada em resposta. A campanha foi descrita como em andamento no momento da publicação, em 23 de setembro, e a avaliação do próprio Simon é que a contabilização está inacabada: "Acreditamos que o impacto real desses golpes está acontecendo agora, e ainda não somos capazes de compreender ou medir totalmente o impacto completo."

O que existe, em vez disso, são orientações. As recomendações de Simon, conforme noticiado pelo Dark Reading, dividem-se em três direções. Para usuários: verifique o que um assistente lhe diz em vez de tratá-lo como infalível. Para as marcas: levar a sério as reclamações de clientes sobre golpes, monitorar as respostas de IA que os clientes realmente recebem e as fontes que essas respostas citam, e priorizar as categorias em que um número errado sai caro — suporte, recuperação de conta, reembolsos, pagamentos e downloads de software. Para organizações que operam agentes: monitorar em tempo de execução, verificar cada fonte e cada conteúdo que entra no contexto do modelo, e checar detalhes críticos — números de telefone, links, pacotes de software, linhas de comando — antes de agir com base neles. A etapa de comparação que ele sugere é deliberadamente manual: "Compare os números de telefone, endereços de e-mail e URLs retornados com registros verificados da empresa, depois investigue detalhes desconhecidos e indicadores repetidos em sites não relacionados."

A IANS submeteu a mesma recomendação à revisão de seu corpo docente, com Josh More situando a campanha em uma linhagem — “Vemos isso nos mecanismos de busca há anos” — e George Gerchow resumindo o mecanismo em uma frase que vale a pena guardar: “Ninguém invadiu o modelo. Eles semearam as fontes em que ele confia e deixaram que ele falasse. O chatbot não foi hackeado; foi alimentado.” As recomendações do corpo docente da IANS acrescentam monitoramento de marca e limites à autonomia dos agentes à recomendação de verificação, e nenhuma delas constitui uma solução.

Por que vale a pena manter o registro

O envenenamento de resultados de pesquisa é antigo. O que este registro descreve é o ponto em que o resultado da pesquisa deixou de ser aquilo que o usuário vê. Na versão convencional, a vítima chega a uma página, e a página é a evidência — com erros ortográficos, hospedada de forma estranha, visivelmente não é o banco. Aqui a página nunca é renderizada. Um modelo a lê, concorda com ela e escreve uma frase que começa com o nome da marca e termina com o número do atacante. A citação pode estar lá, mas o julgamento que uma citação normalmente sustenta já foi feito por algo que não se cansa nem desconfia.

É também por isso que o grau de confiança do registro está fazendo um trabalho de verdade, e não apenas tarefa de manutenção. O mecanismo não está seriamente em dúvida — é assim que os sistemas aumentados por recuperação são construídos, e os analistas do setor que escreveram sobre isso o trataram como plausível à primeira vista. A escala está em dúvida, e continuará em dúvida até que alguém divulgue um corpus ou um log de consultas. A medição de uma única empresa, divulgada por veículos que todos citam o mesmo post, é motivo para registrar o incidente e motivo para não repetir o número como se ele tivesse sido contado duas vezes.

O enquadramento do próprio arquivo coloca-o em alta gravidade, com envolvimento de IA confirmado, dano real registado e nenhuma contestação associada. O que a entrada realmente documenta é uma transferência de confiança: a reputação da marca é a matéria-prima, a fluência do assistente é o mecanismo de entrega, e a etapa de verificação que o teria detetado é aquela que, segundo se diz, 91% dos utilizadores ignoram.