Jailbreak, Prompt Injection e instruções maliciosas: é tudo a mesma coisa?

Não exatamente, e a própria literatura de segurança discorda sobre onde termina um e começa o outro. O que ajuda mais do que decorar as palavras é perguntar, para cada ataque, o que está sendo atacado.

Três alvos diferentes

	Jailbreak	Prompt injection	Vazamento de dados
O que é atacado	As travas de segurança do próprio modelo	A instrução que a aplicação deu ao modelo	Informação que o sistema não deveria revelar
Quem costuma atacar	Quem conversa diretamente com o modelo	Quem controla algum texto que a aplicação lê	Qualquer um dos anteriores, como meio
O que se perde	Respostas que o modelo foi treinado para recusar	O controle da aplicação sobre o que o modelo faz	Prompt de sistema, dados de usuários, segredos

A terceira coluna é a que confunde, porque vazamento não é uma técnica. É um efeito que os outros ataques podem produzir.

Onde as definições divergem

O OWASP, na lista de 2025, trata jailbreaking como uma forma de prompt injection: aquela em que o atacante faz o modelo ignorar seus protocolos de segurança por completo. Nessa leitura, tudo cabe no mesmo item, o LLM01.

Simon Willison defende que são coisas distintas. Para ele, prompt injection é um ataque à aplicação, causado por concatenar entrada confiável (o prompt do desenvolvedor) com entrada não confiável, e jailbreak é um ataque às travas do modelo em si. A distinção importa na prática por causa do risco: um jailbreak bem-sucedido tipicamente gera uma resposta constrangedora, enquanto uma injeção contra uma aplicação com acesso a dados e ferramentas pode causar dano real.

Não precisa escolher um lado da discussão terminológica. Precisa usar a lente certa quando estiver decidindo onde investir defesa.

Por que a confusão custa caro

Willison chama atenção para uma consequência comercial dessa mistura: um produto que detecta jailbreak pode ser vendido como solução para prompt injection. Ele pega frases teatrais como “ignore suas regras”, e talvez não pegue a instrução discreta escondida num documento que faz sua aplicação encaminhar dados para fora. Um detector de jailbreak protege o modelo de dizer o que não deveria. Não protege sua aplicação de ser convencida a fazer o que não deveria.

E o vazamento

O OWASP tem itens próprios para isso na edição de 2025, entre eles divulgação de informação sensível (LLM02) e vazamento de prompt de sistema (LLM07). O aviso deles sobre o segundo é direto: o prompt de sistema não deve ser tratado como segredo nem como controle de segurança. Se existe uma chave de API, uma regra de negócio confidencial ou uma credencial dentro do prompt, ela está a uma pergunta bem feita de sair.

A conclusão prática é retirar do prompt o que não pode vazar e aplicar permissões fora do modelo, em código.

O limite que vale para todos os três

Nenhuma dessas defesas garante conformidade total. Modelos são probabilísticos, e obedecer a uma instrução é um comportamento que a maioria das vezes acontece, não uma propriedade que se prova. O OWASP admite, na página de prompt injection, que não está claro se existem métodos infalíveis de prevenção.

Por isso, o desenho seguro parte de outra premissa: assumir que alguma instrução indevida vai passar e limitar o que o sistema consegue fazer quando isso acontecer.