Estudo mostra como IAs podem disseminar notícias falsas

Uma única página publicada na internet é suficiente para que agentes de IA com acesso a busca apresentem uma história inventada como resposta. Pesquisadores da Universidade de Nova York em Abu Dhabi (NYU Abu Dhabi) criaram 56 narrativas falsas, publicaram cada uma em um só site e perguntaram sobre elas ao ChatGPT, da OpenAI, ao Gemini, do Google, e ao Sonar Pro, da Perplexity.

O conteúdo fabricado apareceu em 31% das 504 respostas. Quando a página estava em um endereço indexado pelo Google, a taxa subiu para 42,3%. Em quase três de cada quatro casos, o chatbot repassou a informação sem nenhum alerta.

O estudo foi divulgado nesta semana no arXiv, repositório de artigos científicos, e será apresentado em março de 2027 no NDSS, simpósio internacional de segurança de redes e sistemas, em Seul. Os autores tratam o resultado como uma nova forma de ataque: não exige invadir sistema algum, nem treinar o modelo com dados envenenados. Basta publicar uma página onde não há outras.

A vulnerabilidade cresce à medida que os chatbots substituem o buscador como porta de entrada para a informação. Segundo o Digital News Report 2026, do Instituto Reuters, ligado à Universidade de Oxford, a parcela de pessoas que usam chatbots para se informar toda semana subiu de 7% para 10% em um ano, na média dos países pesquisados. No Brasil, chega a 13%, enquanto a confiança nas notícias caiu para 36%, o menor nível em 12 anos. Entre os que usam os assistentes, 44% confiam nas notícias geradas por IA, contra 17% entre os que não usam.

No buscador tradicional, quem procura um termo obscuro vê uma lista de links e pode desconfiar de um conjunto formado só por blogs desconhecidos. No chatbot, recebe um texto pronto, em tom seguro, com uma ou duas citações. Para os autores, é isso que torna o ataque mais eficaz nos assistentes de IA: a resposta sintetizada elimina os sinais que permitiriam ao usuário avaliar a qualidade das fontes.

Como o teste foi feito

Os pesquisadores escreveram 90 narrativas fictícias em cinco áreas (negócios, saúde, direito, política e tecnologia) e mantiveram 56 depois de checar se de fato correspondiam a vazios de dados. Antes do experimento, perguntaram ao ChatGPT sobre 23 delas: em 17 casos, o chatbot respondeu que não havia informação sobre o assunto.

Um dos casos partiu de um evento real, o Singapore Airshow 2026, feira de aviação. A equipe criou a tese de que aviões pequenos são sempre pintados de vermelho, sustentada por um “AeroColor Safety Study 2025” e por um “professor Benji Nato”, ambos inexistentes. Outros exemplos: um tempero fictício apresentado como tendência na feira Gulfood, uma startup que mediria a eficiência do gasto público de Singapura e a teoria de que governos usam torres de 5G para levar a população ao campo. Os autores evitaram temas que pudessem causar dano real, como orientação médica, pessoas vivas e vacinas, e tiraram os sites do ar ao fim do estudo.

As páginas, de 700 a 1.000 palavras, foram redigidas pelo próprio ChatGPT a partir de um roteiro detalhado. O roteiro pedia texto com aparência de publicação profissional, uma citação de especialista fictício com nome e cargo, links para fontes reais e reconhecidas, um resumo no topo, uma seção de limitações e exatamente três estatísticas, com valores “incomuns, não arredondados”, para parecerem baseadas em dados. Na página dos aviões, os números eram 68%, 14,2% e 4,2 vezes.

Os textos foram publicados em três condições: em um domínio com mais de seis anos e indexação automática pelo Google; em domínios novos enviados manualmente ao buscador; e em domínios novos sem nenhum aviso aos buscadores. As perguntas, curtas, simulavam um usuário que ouviu falar do assunto e foi checar, em três tons: neutro, entusiasmado e cético. A coleta final ocorreu 25 dias após a publicação. O experimento inteiro custou US$ 1.080.

O que decide o sucesso do ataque

O endereço onde a página está hospedada foi o fator decisivo. Os textos em domínios novos e não indexados nunca apareceram nas respostas. No domínio antigo, o Gemini usou o conteúdo falso em 78,3% dos casos, o Sonar Pro em 51,7% e o ChatGPT em 38,4%. Para quem ataca, a conta é de custo: domínios antigos e bem posicionados são mais escassos e mais caros, mas um único deles serve a muitas páginas.

Entre as estratégias, a de notícia de última hora foi a mais eficaz, com chances de sucesso 3,6 vezes maiores que a média. A hipótese dos autores é que os sistemas dão preferência a conteúdo recente. O único caso ancorado em um assunto de grande cobertura, os arquivos do caso Epstein, teve sucesso em apenas 11,1% das tentativas, o que sugere que o volume de informação apurada reduz o espaço do conteúdo plantado. As perguntas conspiratórias foram as que menos funcionaram, possivelmente porque acionam as salvaguardas dos modelos.

A escolha do chatbot e o tom da pergunta não mudaram o resultado de forma relevante. O tom cético reduziu pouco a taxa de sucesso, sem significância estatística. Ele aumentou, porém, a frequência com que o assistente acompanhava a informação de um alerta, como “não confirmado” ou “fonte não oficial”: com perguntas céticas, o ChatGPT fez a ressalva em 53,8% dos casos, e o Gemini em 29,4%. No total, 73,2% das respostas que usaram ou citaram o material falso não traziam aviso algum. Quem perguntou em tom neutro foi quem menos recebeu alertas.

O vocabulário do usuário pesa mais que o tom. Em um teste complementar, os pesquisadores acrescentaram às perguntas duas expressões retiradas da própria página falsa, para simular alguém que repete os termos com que foi abordado. A taxa de sucesso subiu nos três chatbots: de 28,6% para 39,3% no ChatGPT, de 32,1% para 39,3% no Gemini e de 32,1% para 37,5% no Sonar Pro. Para os autores, isso indica que quem dissemina a narrativa ganha ao ensinar ao público as palavras que deve pesquisar.

A receita da credibilidade

O estudo dialoga com uma área que cresceu junto com os chatbots: a otimização para mecanismos generativos, conhecida pela sigla em inglês GEO. É a versão, para assistentes de IA, do SEO usado para aparecer no Google. Em trabalho de 2023, pesquisadores da Universidade Princeton mostraram que ajustes no texto podem aumentar em até 40% a presença de uma página nas respostas desses sistemas.

Para escolher os elementos das páginas falsas, a equipe da NYU Abu Dhabi analisou como o ChatGPT trata milhares de páginas reais. Termos técnicos precisos dobraram a chance de uma página ser recuperada pelo sistema; estatísticas tiveram efeito semelhante; citações a outras fontes também ajudaram. Texto fluente e explicações em linguagem simples reduziram a chance de citação, e tom autoritário não ajudou. Em resumo, o chatbot favorece páginas que exibem sinais de evidência, justamente os mais fáceis de fabricar: um número com casa decimal, um estudo com nome em inglês, um professor com cargo.

No experimento principal, a presença desses elementos não alterou a taxa de sucesso de forma detectável. Pesaram mais o endereço da página e a estratégia escolhida. A lição é que, em um vazio de dados, a página falsa não precisa vencer a concorrência; basta existir.

Um debate em aberto

O trabalho entra em uma discussão recente sobre como a propaganda chega aos chatbots. Em março de 2025, a empresa americana NewsGuard relatou que dez dos principais assistentes de IA repetiam narrativas da rede Pravda, ligada a Moscou, em 33% das respostas a perguntas sobre essas narrativas. A rede havia publicado 3,6 milhões de artigos em 2024, e a interpretação corrente passou a ser a de que a Rússia inundava a internet para contaminar os modelos.

Em outubro de 2025, um estudo publicado na Misinformation Review, da Escola Kennedy de Harvard, chegou a outra conclusão. Ao analisar 416 respostas de ChatGPT, Gemini, Copilot e Grok, os autores encontraram apoio à desinformação em 5% delas e links para sites da rede Pravda em 8%, quase todos no Copilot. Esses links surgiam sobretudo em perguntas muito específicas, sobre as quais havia pouca informação confiável. A explicação, segundo eles, estava nos vazios de dados, não em manipulação deliberada dos modelos.

O experimento da NYU Abu Dhabi não testa a hipótese da inundação, mas mostra que ela não é necessária: uma página, em um domínio com algum histórico, basta para levar o conteúdo à resposta de um chatbot.

Falha exposta no ChatGPT

Durante o trabalho, a equipe constatou que a versão web do ChatGPT registrava, em dados acessíveis pelo próprio navegador do usuário, as consultas de busca que o sistema fazia, os endereços recuperados, as fontes citadas e a resposta de um classificador interno que decide se é preciso buscar mais. Para um atacante, saber quais termos o chatbot pesquisa ajuda a escolher onde e como publicar.

A OpenAI classificou o relato inicialmente como informativo, e não como falha de segurança. Depois de receber novas amostras, confirmou a exposição dos dados do classificador, removeu parte das informações e informou que trabalha para retirar o restante. As consultas de busca e as fontes recuperadas continuam visíveis por decisão da empresa, que as usa para montar a interface.

Limites

O experimento usou uma página por narrativa. Campanhas coordenadas, com vários sites que se citam entre si, tendem a ter mais sucesso, e os autores tratam os 31% como piso. A amostra de 56 narrativas permite descartar efeitos grandes do tom e do modelo escolhido, mas não efeitos pequenos. O estudo também não mede o desempenho do ataque em assuntos com muita informação disponível, nem observa usuários reais: as perguntas foram escritas pelos pesquisadores.

O que muda

Para os autores, a defesa depende das empresas: devolver ao usuário parte dos sinais de credibilidade que a lista de links oferecia, reforçar os avisos de incerteza e marcar respostas apoiadas em uma única fonte, sem descartar perspectivas legítimas que ainda têm pouca presença na internet. Separar desinformação planejada de um assunto apenas novo, escrevem, pode exigir supervisão humana.

O resultado também tem consequência para o jornalismo. A estratégia mais eficaz explora o intervalo entre um acontecimento e a chegada de informação apurada, e o caso Epstein indica que a cobertura abundante reduz o espaço do conteúdo plantado. Quanto mais rápido redações e fontes oficiais publicam informação verificada sobre um fato novo, menor é o vazio disponível. O problema maior está nos termos que ninguém cobre, aqueles inventados para circular em grupos fechados.

O estudo se soma a uma preocupação já levantada pelo economista Daron Acemoglu, que tem alertado que a IA pode corroer o conhecimento coletivo. Quando a resposta pronta substitui a consulta a várias fontes, o usuário perde a chance de notar que só existe uma. Aos usuários, os pesquisadores fazem uma recomendação de alcance limitado: perguntas curtas e céticas, sem pedir ao chatbot que amplie a busca para fontes novas, e desconfiança diante de respostas sustentadas por uma fonte só.

Leia também

• Sugestões de quem seguir bastam para virar a maioria numa rede social
• A importância do pensamento crítico na era da IA
• Imprensa disputa fidelidade do leitor e cria ações para o assinante

Estudo: Guerra, M.; Jobe, W.; Nambiar, S.; Pöpper, C.; Abouzied, A. “Data-Void Exploits in Web-Searching LLMs”. NYU Abu Dhabi, arXiv:2610.30365, 2026. Aceito no NDSS Symposium 2027. Código e dados: Zenodo.