28 de maio de 2026

Durante anos, o debate em torno da inteligência artificial corporativa girou em torno de uma única preocupação: o que acontece quando o modelo erra a resposta? A alucinação textual, aquela saída imprecisa que um LLM gera com aparente confiança, foi o risco central de toda uma geração de projetos de IA. Em 2026, esse problema ainda existe. Só que ele ficou secundário diante de algo substancialmente mais grave. Os agentes autônomos de IA não apenas respondem a perguntas. Eles executam tarefas, acessam sistemas, movimentam dados, disparam processos e tomam decisões, tudo isso sem que um ser humano aprove cada etapa. O risco deixou de ser uma resposta errada em um chat e passou a ser uma ação irreversível executada em velocidade de máquina dentro da infraestrutura da sua empresa. Esse é o cenário que CTOs e CISOs brasileiros enfrentam agora: uma pressão crescente para adotar IA com agilidade, enquanto os frameworks de governança e os controles de segurança ainda tratam esses agentes como se fossem usuários comuns, ou, pior, como se simplesmente não existissem. A nova categoria de risco que a maioria das empresas ignora Agentes autônomos operam com identidades próprias. Eles possuem credenciais, acessam APIs, consultam bases de dados, executam fluxos de negócio e até orquestram outros agentes. Cada um desses agentes representa o que a literatura técnica chama de Identidade Não Humana (NHI – Non-Human Identity). Segundo dados publicados pelo portal Ramos da Informática, as NHIs já superam as identidades humanas nas grandes organizações numa proporção estimada de 80 para 1. Apesar disso, a maioria das empresas ainda não tem governança formal sobre essas identidades. Não há inventário, não há ciclo de vida definido, não há política de revogação. O agente existe, age e acumula privilégios, muitas vezes sem que o time de segurança sequer saiba que ele está lá. A consequência direta disso é o que pesquisadores chamam de “alucinação de ação”: em vez de gerar um texto incorreto, o agente mal configurado ou comprometido executa uma transferência fraudulenta, escala privilégios ou vaza dados sensíveis, e faz tudo isso com a velocidade e a persistência que nenhum atacante humano conseguiria sustentar. Os três vetores de ataque que definem o novo perímetro 1. Prompt Injection: quando o conteúdo vira uma arma O prompt injection abuso de permissões, identidades não humanas e excesso de agência são riscos reais em LLMs/agentes. A OWASP lista prompt injection, excessive agency, supply chain e data poisoning entre os principais riscos para aplicações LLM/GenAI. O NIST AI 600-1 também reconhece prompt injection, data poisoning e vazamento de dados como riscos relevantes de GenAI,  hoje um dos vetores mais relevantes mais discutido contra agentes de IA. A lógica é elegante na sua perversidade: em vez de atacar o sistema diretamente, o adversário embute instruções maliciosas dentro de conteúdo aparentemente legítimo: um e-mail, um ticket de suporte, uma nota fiscal, um documento PDF processado pelo agente. Quando o agente consome esse conteúdo como parte do seu contexto operacional, ele interpreta as instruções plantadas como comandos válidos e começa a executá-las. Segundo análise publicada pelo Stellar Cyber, um dos riscos mais sérios nesse cenário é o goal hijacking: o agente tem sua lógica original substituída por um objetivo injetado pelo atacante, podendo executar transferências financeiras ou exfiltrar dados sem nenhuma intervenção humana. A diferença crítica em relação a um ataque convencional está na escala e na velocidade. Um agente comprometido pode processar centenas de solicitações maliciosas por hora, enquanto qualquer tentativa equivalente por parte de um humano seria detectada imediatamente pelo comportamento anômalo. 2. Envenenamento de memória: o ataque que dorme antes de agir Sistemas de IA corporativos modernos, especialmente os que utilizam arquiteturas RAG (Retrieval-Augmented Generation), mantêm uma base de conhecimento que o agente consulta antes de agir. Essa memória persistente é um alvo privilegiado. No envenenamento de memória, o atacante não precisa comprometer o agente em tempo real. Ele injeta informações falsas na base de conhecimento, uma política de pagamento fraudulenta, um número de conta alterado, uma regra de negócio corrompida, e aguarda. Semanas depois, quando o agente consulta essa memória para processar uma transação legítima, ele age com base nos dados envenenados. Conforme documentado pelo Stellar Cyber em análise sobre ameaças agentic, esse tipo de ataque cria um “agente adormecido”: o comprometimento ocorre em um momento, o dano se materializa em outro, e a cadeia de causalidade entre os dois eventos é praticamente impossível de rastrear com ferramentas de monitoramento convencionais. 3. Abuso de privilégios: o problema do excesso de permissões Agentes de IA são, por natureza, mal dimensionados em termos de acesso. Para funcionarem com eficiência, eles recebem permissões amplas, acesso a bases de dados, APIs financeiras, sistemas de CRM, repositórios de código. O problema é que esses privilégios raramente são revisados ou calibrados ao mínimo necessário. O resultado é o que a literatura de segurança chama de “blast radius” expandido: qualquer comprometimento do agente dá ao atacante acesso equivalente ao escopo total de permissões concedidas. Em sistemas com dezenas ou centenas de agentes, um único ponto de falha pode comprometer setores inteiros da operação. Segundo análise do Stellar Cyber, um caso real envolveu um agente de reconciliação financeira manipulado para exportar a totalidade de uma base de clientes, simplesmente porque a instrução foi formulada como uma tarefa de negócio legítima, e o agente tinha permissão suficiente para executá-la. Por que os controles atuais não foram feitos para isso Firewalls e antivírus tradicionais operam no nível de rede e assinatura. Um agente de IA que executa uma consulta SQL legítima com credenciais válidas é, para esses sistemas, indistinguível de um usuário humano fazendo a mesma coisa. A diferença está no comportamento semântico, no porquê da ação, não na ação em si. Da mesma forma, os modelos de governança de identidade foram construídos pensando em funcionários humanos com contratos, crachás e datas de desligamento. Um agente autônomo pode ser criado em minutos, operar por semanas e ser descartado sem deixar rastro, e nenhum processo convencional de IAM vai capturar esse ciclo de vida.