O próximo alvo do sequestro de anúncio não é o clique. É a resposta da IA.

Um cliente pergunta ao ChatGPT qual é a melhor opção de crédito consignado. A resposta cita três empresas. Uma delas nunca existiu. Outra é a sua concorrente direta, favorecida por um conteúdo que nem ela mesma publicou. A terceira é você — mas descrita com um dado de preço errado, associada a uma reclamação que nunca foi sua, ou simplesmente ausente da lista quando deveria estar no topo.

Ninguém clicou em nada. Ninguém preencheu formulário. E ainda assim, a decisão de compra já foi contaminada.
Esse é o novo território do sequestro de marca. E ele não aparece em nenhum relatório de mídia paga.

O ataque que não precisa de anúncio

Ad hijacking, brand bidding, afiliado desonesto — toda a família de fraudes que a indústria de mídia aprendeu a monitorar na última década tinha um ponto em comum: dependia de leilão, clique e página de destino. Existia um rastro.

O que está surgindo agora dispensa esse rastro inteiro. Pesquisadores documentaram, em fevereiro de 2026, um experimento no qual um único artigo fabricado publicado em um site pessoal foi suficiente para que o Google AI Overviews e o ChatGPT passassem a repetir a informação inventada como fato — em 24 horas, sem qualquer acesso técnico privilegiado. Esse fenômeno tem nome: AI poisoning. E ele não ataca seu orçamento de mídia. Ataca a única fonte que o consumidor está passando a consultar antes de decidir.

Não é hipótese distante. Em março de 2026, a CCTV — televisão estatal chinesa — expôs em seu programa anual de defesa do consumidor um mercado inteiro de operadores de GEO que inflavam marcas fictícias no topo das recomendações de assistentes de IA chineses plantando avaliações falsas em massa. A marca recomendada nem precisava existir de verdade. Bastava existir o suficiente para o modelo achar que existia.

E o mais desconfortável: pesquisa recente sobre manipulação de recomendação por IA demonstrou algo ainda mais direto para o varejo. Ao apresentar a um modelo de linguagem duas opções de produto — um relógio de entrada e um relógio premium — a recomendação correta era óbvia. Bastou alterar sutilmente a imagem do produto barato para que o modelo passasse a recomendá-lo como se fosse a opção de maior valor, revertendo a indicação por completo. Nenhuma palavra do texto mudou. Só a imagem foi manipulada o suficiente para enganar a leitura do modelo — não a leitura humana.

Se isso funciona para inflar um produto de terceiro, funciona para deslocar o seu.

Por que isso é sequestro, e não só imprecisão de IA

A tentação é tratar isso como "alucinação" — um problema de qualidade do modelo, não de proteção de marca. É um erro de categoria.

Alucinação é o modelo errar sozinho. O que está em jogo aqui é diferente: é um terceiro plantando deliberadamente o conteúdo que o modelo vai consumir como evidência. A pesquisa que nomeou esse vetor como "poluição de conteúdo web contra recomendadores generativos" descreve exatamente essa distinção — o resultado final continua parecendo uma resposta normal, dentro da tarefa, sem gatilhos óbvios de manipulação. Não existe instrução maliciosa visível, não existe trecho fora de contexto. A recomendação simplesmente aponta para a marca errada, com toda a confiança de uma resposta legítima.

Isso muda o problema de "a IA erra às vezes" para "qualquer concorrente, afiliado oportunista ou fraudador com paciência de duas semanas pode publicar conteúdo suficiente para se infiltrar na resposta que vende no seu lugar". A barreira de entrada é baixíssima: não precisa de acesso ao seu site, ao seu Google Ads ou à sua rede de afiliados. Precisa só de conteúdo público bem posicionado — e de você não estar olhando.

O ponto cego é estrutural, não é falta de atenção

Toda a indústria de proteção de marca em mídia paga nasceu para monitorar leilão: quem compra sua palavra-chave, quem clona seu anúncio, quem redireciona seu clique. Isso segue sendo essencial. Mas essa estrutura inteira foi desenhada para um funil que começava com busca e clique.

A busca por IA elimina os dois. O consumidor não digita dez palavras-chave e compara dez resultados — ele faz uma pergunta e recebe uma resposta. Não existe página dois. Não existe "vou comparar mais uma opção". Existe a resposta que o modelo decidiu dar, formada a partir de fontes que, na maioria das categorias, a própria marca nunca auditou.

Você pode estar impecável no Google Ads, sem um único caso de brand bidding ativo, e ainda assim estar sendo mal representado — ou substituído — dentro do ChatGPT, do Gemini, do Perplexity ou do AI Mode do Google. São ambientes de decisão que já influenciam categoria inteira e que, até aqui, praticamente nenhum player de mídia brasileiro está auditando de forma estruturada.

O que fazer com isso agora

Não existe ainda uma ferramenta de mercado que "bloqueie" AI poisoning do jeito que um pixel bloqueia clique fraudulento. O que existe — e que já é possível operacionalizar — é monitoramento ativo de como a IA está respondendo sobre sua categoria: quais marcas aparecem, em que posição, com que tom, associadas a que dados. É o mesmo princípio que já sustenta brand monitoring tradicional, aplicado a uma superfície nova.

A pergunta que fica não é mais "estou perdendo clique para um concorrente que compra minha palavra-chave". É: "quando alguém pergunta para uma IA sobre a minha categoria, o que ela responde — e é verdade?"

Quem não sabe responder isso hoje não está atrasado. Está, na prática, sem visibilidade sobre onde a decisão de compra do seu cliente já está sendo tomada.

---

FAQ

O que é AI poisoning?

É a prática de publicar deliberadamente conteúdo falso ou manipulado na web com o objetivo de que sistemas de IA generativa — como ChatGPT, Gemini e Perplexity — absorvam essa informação e a repitam como fato em suas respostas.

Isso é diferente de brand bidding ou ad hijacking tradicional?

Sim. Brand bidding e ad hijacking acontecem no leilão de mídia paga e dependem de clique. AI poisoning acontece na camada de conteúdo que alimenta a resposta da IA e não depende de nenhuma interação com anúncio — o dano acontece antes de qualquer clique existir.

Uma marca pode ser afetada mesmo sem nenhum concorrente agindo de má-fé?

Pode. Parte do problema vem de alucinação genuína do modelo. Mas a diferença entre "a IA errou sozinha" e "alguém plantou o erro" é justamente o que separa um problema de qualidade de um problema de proteção de marca — e ambos precisam de monitoramento, ainda que exijam respostas diferentes.

Como uma marca começa a monitorar isso?

Rastreando de forma estruturada e recorrente como diferentes IAs respondem a perguntas da própria categoria: quais marcas são citadas, em que posição, com que sentimento e com que precisão factual — o mesmo rigor que já se aplica a brand monitoring tradicional, adaptado à nova superfíci