Arquivos do Office podem esconder conteúdo que vaza para a IA, mostra estudo

Conteúdo invisível, consequências reais

Um arquivo do Word, do Excel ou do PowerPoint pode parecer totalmente inofensivo quando aberto no Microsoft Office — e, mesmo assim, carregar trechos de conteúdo que só aparecem quando o documento é processado por ferramentas de extração usadas para alimentar modelos de linguagem. Essa é a conclusão central de um novo estudo em pré-print que investiga a “divergência de evidências” na ingestão de arquivos OOXML por sistemas de inteligência artificial.

Os pesquisadores construíram arquivos válidos segundo a especificação que exibiam a mensagem “BENIGN” no canvas de edição do Office, mas que expunham conteúdo “TRAP” (uma armadilha de teste) em outro trecho do documento quando lidos por extratores. No total, o fluxo de trabalho confirmou 21 dessas “bifurcações de evidência” nos três formatos — Word, Excel e PowerPoint.

O que o experimento mediu

A avaliação cobriu 13 ferramentas de extração, quatro APIs de ingestão nativa e sete chatbots na web. Em 8.400 tentativas com as quatro APIs, os modelos retornaram o conteúdo-armadilha em 48% a 76% das execuções, dependendo da interface — e pelo menos uma interface expôs a armadilha em 20 dos 21 mecanismos testados. Em documentos “limpos” gêmeos, nenhuma resposta de armadilha apareceu em 840 tentativas, o que reforça que o fenômeno está ligado ao conteúdo oculto, e não a ruído aleatório.

Um dado que chama atenção: o rótulo do modelo anunciado não foi suficiente para prever a exposição. Em uma comparação direta, a interface web e a API de parsing de arquivos do GLM anunciavam o mesmo modelo, mas expuseram conjuntos diferentes de mecanismos de bifurcação.

Arquivos comuns também carregam assinaturas

Os pesquisadores também varreram 4.263 documentos públicos nos formatos XLSX, DOCX e PPTX. Desses, 748 (17,5%) carregavam pelo menos uma assinatura associada aos mecanismos de bifurcação. O número é descritivo — as amostras dos três formatos foram selecionadas de forma independente —, mas indica que o fenômeno não se limita a arquivos criados especificamente para o teste.

O que os autores recomendam

O estudo interpreta a escolha e a atualização de extratores de documentos como decisões relevantes para segurança. A recomendação é estabelecer contratos explícitos que definam qual “visão” do documento é a pretendida, de onde vêm as evidências e qual papel semântico cada trecho tem — além de criar testes de regressão que detectem bifurcações quando os extratores mudam.

Limites do estudo

É importante destacar o que o trabalho não estabelece: ele não estima a prevalência de ataques no mundo real, não identifica a configuração exata de backends de serviços fechados e não mede danos em decisões humanas. É um pré-print (versão 1, de 26 de agosto de 2026), ainda não revisado por pares. Ainda assim, o aviso central é útil para qualquer empresa que usa RAG ou agentes que leem documentos do Office: o que você vê no editor nem sempre é o que a IA enxerga.