A segurança em agentes de IA Android ganhou um novo alerta após pesquisadores revelarem uma cadeia de vulnerabilidades capaz de transformar um simples texto invisível exibido na tela de um smartphone em um vetor para execução remota de código (RCE) no computador conectado. O mais preocupante é que o usuário não precisa clicar em nada nem perceber a presença do conteúdo malicioso: basta que um agente de inteligência artificial interprete a tela e execute automaticamente ações por meio do Android Debug Bridge (ADB).
A pesquisa analisou cinco dos principais frameworks de agentes de IA de código aberto para Android e demonstrou que falhas de projeto, ausência de sanitização de dados e integração insegura entre modelos de linguagem e comandos do sistema operacional podem permitir que invasores assumam o controle do computador hospedeiro. O estudo reforça um princípio que especialistas em segurança vêm repetindo há anos: um modelo de linguagem não deve ser tratado como uma barreira de segurança.
Com a rápida evolução dos agentes autônomos, que conseguem interpretar interfaces gráficas, tomar decisões e controlar dispositivos praticamente sem intervenção humana, cresce também a superfície de ataque. Quando esses sistemas passam a interagir diretamente com ferramentas como o ADB, qualquer falha na validação de entradas pode ter consequências muito além do smartphone, atingindo também computadores com Linux, Windows e outros sistemas compatíveis.
Como funciona o ataque do texto invisível no Android
O estudo mostra que modelos multimodais modernos, como GPT-4o, Claude Opus 4.5 e Gemini 3 Pro, conseguem interpretar informações visuais que passam despercebidas ao olho humano. Isso inclui textos com aproximadamente 2% de opacidade, praticamente invisíveis para uma pessoa, mas ainda perfeitamente detectáveis pelos algoritmos de visão computacional.
Na prática, um aplicativo malicioso ou uma página cuidadosamente preparada pode exibir instruções escondidas na interface do Android. Embora o usuário veja apenas uma tela aparentemente normal, o agente de IA interpreta o texto oculto como comandos legítimos.
Esse comportamento cria uma forma sofisticada de prompt injection visual, em que o modelo recebe instruções diretamente da imagem da tela em vez de um campo de texto tradicional. Como muitos agentes foram desenvolvidos para confiar totalmente nas informações presentes na interface, eles acabam obedecendo às instruções invisíveis sem qualquer mecanismo adicional de validação.
O resultado é um cenário em que um atacante consegue manipular o comportamento do agente simplesmente alterando elementos gráficos aparentemente inofensivos.
A brecha na captura de tela e áreas ocultas
Os pesquisadores identificaram outro problema importante relacionado à captura de tela realizada pelos agentes.
Diversos frameworks armazenam temporariamente screenshots no diretório /sdcard antes de enviá-las ao modelo de inteligência artificial. Durante esse processo, um aplicativo malicioso pode modificar ou substituir essas imagens, inserindo comandos invisíveis sem que o agente perceba qualquer alteração.
Além disso, a pesquisa mostra que regiões normalmente ignoradas pelo usuário, como áreas próximas aos entalhes da câmera, bordas da tela e cantos parcialmente ocultos da interface, podem armazenar conteúdo malicioso.
Mesmo quando determinadas áreas não aparecem completamente para o usuário, elas continuam presentes na imagem enviada ao modelo de IA. Dessa forma, comandos escondidos nesses espaços acabam sendo processados normalmente pelo agente.
Esse tipo de ataque demonstra que proteger apenas a interface visível não é suficiente. Todo o fluxo de captura, armazenamento e processamento de imagens precisa ser tratado como um componente crítico da segurança.
Segurança em agentes de IA Android: da tela do celular para a execução de código no PC host
A descoberta mais grave da pesquisa envolve a passagem das informações interpretadas pelo modelo para comandos executados no computador responsável por controlar o dispositivo Android.
Grande parte dos frameworks utiliza o módulo subprocess.run() da linguagem Python para executar comandos ADB. O problema surge quando esses comandos são montados utilizando a opção shell=True.
Quando parâmetros provenientes do modelo de IA são inseridos diretamente na linha de comando sem qualquer sanitização, um invasor pode incluir operadores do shell capazes de executar instruções adicionais.
Na prática, em vez de apenas enviar um texto ao smartphone, o computador pode acabar executando comandos arbitrários no próprio sistema operacional hospedeiro.
Esse comportamento caracteriza uma Execução Remota de Código (RCE), permitindo ações como:
- Execução de scripts maliciosos;
- Instalação de malware;
- Exfiltração de dados;
- Alteração de arquivos do sistema;
- Comprometimento completo do computador.
Como a exploração acontece através do próprio ambiente de automação utilizado pelos desenvolvedores, muitos mecanismos tradicionais de segurança podem não detectar imediatamente a atividade maliciosa.
O risco afeta tanto ambientes Linux quanto Windows, desde que utilizem configurações vulneráveis semelhantes.
O papel do ADB Keyboard e dos canais de broadcast
Outro componente explorado pelos pesquisadores foi o ADB Keyboard, uma ferramenta bastante conhecida por desenvolvedores e utilizada para automatizar testes em dispositivos Android.
O teclado permite inserir texto no smartphone por meio de comandos enviados via broadcast utilizando o ADB.
O recurso, criado originalmente para facilitar automação e desenvolvimento, tornou-se um vetor de ataque quando integrado a agentes de IA sem autenticação adicional.
Como vários frameworks assumem que qualquer mensagem enviada ao ADB Keyboard é legítima, um atacante consegue utilizar o próprio mecanismo para inserir comandos arbitrários no dispositivo.
O estudo também destaca que diversos canais de broadcast utilizados durante a automação não implementam mecanismos robustos de autenticação, ampliando ainda mais a superfície de ataque.
O problema não está necessariamente nas ferramentas de automação, mas na maneira como elas foram incorporadas aos agentes inteligentes sem controles adequados de autorização e validação.
Os frameworks afetados e a resposta da comunidade
Os pesquisadores avaliaram cinco importantes projetos de código aberto voltados para automação inteligente em dispositivos Android.
Entre os frameworks afetados estão:
- Open-AutoGLM;
- AppAgent;
- AppAgentX;
- Mobile-Agent-v3;
- MobA.
Todos possuem propostas semelhantes: utilizar modelos de linguagem e modelos multimodais para controlar aplicativos Android de maneira autônoma, realizando tarefas que normalmente exigiriam interação humana.
Embora esses projetos representem avanços importantes para pesquisa em inteligência artificial, o estudo aponta que muitos deles ainda possuem arquitetura experimental e não adotam práticas maduras de desenvolvimento seguro.
Outro aspecto destacado pelos pesquisadores é a ausência de políticas claras de Coordinated Vulnerability Disclosure (CVD).
Em diversos casos, não existem procedimentos formais para recebimento, análise e correção de vulnerabilidades reportadas pela comunidade.
Esse cenário dificulta tanto a comunicação responsável dos problemas quanto a distribuição rápida de correções para usuários e desenvolvedores.
A pesquisa reforça que projetos open source voltados à IA precisam evoluir não apenas em desempenho, mas também em governança, revisão de código e resposta a incidentes de segurança.
Segurança em agentes de IA Android: como mitigar o risco
Os pesquisadores apresentaram diversas recomendações capazes de reduzir significativamente a superfície de ataque.
A primeira delas é eliminar completamente o uso de shell=True durante chamadas ao subprocess.run().
Em vez disso, recomenda-se utilizar listas de argumentos (argv) para impedir que caracteres especiais sejam interpretados pelo shell do sistema operacional.
Outra medida importante consiste em validar rigorosamente qualquer dado produzido pelo modelo de IA antes que ele seja utilizado em comandos do sistema.
Também foi recomendado abandonar a gravação temporária de capturas de tela em diretórios acessíveis a outros aplicativos. Sempre que possível, as imagens devem permanecer apenas na memória durante o processamento.
Os pesquisadores ainda sugerem implementar mecanismos explícitos de autorização para todas as operações críticas realizadas pelos agentes.
Isso inclui solicitar confirmação do usuário antes da execução de ações sensíveis e restringir permissões de automação ao menor conjunto possível de privilégios.
Essas recomendações seguem um princípio cada vez mais difundido na indústria de segurança: LLMs não são mecanismos de validação de confiança.
Modelos de linguagem podem interpretar informações, gerar comandos e tomar decisões, mas não devem ser considerados componentes responsáveis por aplicar políticas de segurança.
Sempre que houver interação entre um modelo de IA e recursos críticos do sistema operacional, é indispensável adicionar camadas independentes de validação, autenticação e controle de acesso.
À medida que agentes autônomos se tornam mais presentes no desenvolvimento de software, automação de testes e interação com dispositivos móveis, vulnerabilidades como essa tendem a ganhar importância crescente. O estudo serve como um alerta para toda a comunidade de desenvolvimento: integrar inteligência artificial a ferramentas poderosas sem mecanismos robustos de proteção pode transformar funcionalidades inovadoras em vetores de ataque extremamente sofisticados.
Para desenvolvedores, profissionais de cibersegurança e usuários que acompanham a evolução dos agentes inteligentes, a principal lição é clara: segurança precisa fazer parte da arquitetura desde o primeiro momento, e não ser adicionada apenas após a descoberta de falhas.