Durante anos, o debate em torno da inteligência artificial corporativa girou em torno de uma única preocupação: o que acontece quando o modelo erra a resposta? A alucinação textual, aquela saída imprecisa que um LLM gera com aparente confiança, foi o risco central de toda uma geração de projetos de IA. Em 2026, esse problema ainda existe. Só que ele ficou secundário diante de algo substancialmente mais grave.
Os agentes autônomos de IA não apenas respondem a perguntas. Eles executam tarefas, acessam sistemas, movimentam dados, disparam processos e tomam decisões, tudo isso sem que um ser humano aprove cada etapa. O risco deixou de ser uma resposta errada em um chat e passou a ser uma ação irreversível executada em velocidade de máquina dentro da infraestrutura da sua empresa.
Esse é o cenário que CTOs e CISOs brasileiros enfrentam agora: uma pressão crescente para adotar IA com agilidade, enquanto os frameworks de governança e os controles de segurança ainda tratam esses agentes como se fossem usuários comuns, ou, pior, como se simplesmente não existissem.
A nova categoria de risco que a maioria das empresas ignora
Agentes autônomos operam com identidades próprias. Eles possuem credenciais, acessam APIs, consultam bases de dados, executam fluxos de negócio e até orquestram outros agentes. Cada um desses agentes representa o que a literatura técnica chama de Identidade Não Humana (NHI – Non-Human Identity).
Segundo dados publicados pelo portal Ramos da Informática, as NHIs já superam as identidades humanas nas grandes organizações numa proporção estimada de 80 para 1. Apesar disso, a maioria das empresas ainda não tem governança formal sobre essas identidades. Não há inventário, não há ciclo de vida definido, não há política de revogação. O agente existe, age e acumula privilégios, muitas vezes sem que o time de segurança sequer saiba que ele está lá.
A consequência direta disso é o que pesquisadores chamam de “alucinação de ação”: em vez de gerar um texto incorreto, o agente mal configurado ou comprometido executa uma transferência fraudulenta, escala privilégios ou vaza dados sensíveis, e faz tudo isso com a velocidade e a persistência que nenhum atacante humano conseguiria sustentar.
Os três vetores de ataque que definem o novo perímetro
1. Prompt Injection: quando o conteúdo vira uma arma
O prompt injection abuso de permissões, identidades não humanas e excesso de agência são riscos reais em LLMs/agentes. A OWASP lista prompt injection, excessive agency, supply chain e data poisoning entre os principais riscos para aplicações LLM/GenAI. O NIST AI 600-1 também reconhece prompt injection, data poisoning e vazamento de dados como riscos relevantes de GenAI, hoje um dos vetores mais relevantes mais discutido contra agentes de IA. A lógica é elegante na sua perversidade: em vez de atacar o sistema diretamente, o adversário embute instruções maliciosas dentro de conteúdo aparentemente legítimo: um e-mail, um ticket de suporte, uma nota fiscal, um documento PDF processado pelo agente.
Quando o agente consome esse conteúdo como parte do seu contexto operacional, ele interpreta as instruções plantadas como comandos válidos e começa a executá-las. Segundo análise publicada pelo Stellar Cyber, um dos riscos mais sérios nesse cenário é o goal hijacking: o agente tem sua lógica original substituída por um objetivo injetado pelo atacante, podendo executar transferências financeiras ou exfiltrar dados sem nenhuma intervenção humana.
A diferença crítica em relação a um ataque convencional está na escala e na velocidade. Um agente comprometido pode processar centenas de solicitações maliciosas por hora, enquanto qualquer tentativa equivalente por parte de um humano seria detectada imediatamente pelo comportamento anômalo.
2. Envenenamento de memória: o ataque que dorme antes de agir
Sistemas de IA corporativos modernos, especialmente os que utilizam arquiteturas RAG (Retrieval-Augmented Generation), mantêm uma base de conhecimento que o agente consulta antes de agir. Essa memória persistente é um alvo privilegiado.
No envenenamento de memória, o atacante não precisa comprometer o agente em tempo real. Ele injeta informações falsas na base de conhecimento, uma política de pagamento fraudulenta, um número de conta alterado, uma regra de negócio corrompida, e aguarda. Semanas depois, quando o agente consulta essa memória para processar uma transação legítima, ele age com base nos dados envenenados.
Conforme documentado pelo Stellar Cyber em análise sobre ameaças agentic, esse tipo de ataque cria um “agente adormecido”: o comprometimento ocorre em um momento, o dano se materializa em outro, e a cadeia de causalidade entre os dois eventos é praticamente impossível de rastrear com ferramentas de monitoramento convencionais.
3. Abuso de privilégios: o problema do excesso de permissões
Agentes de IA são, por natureza, mal dimensionados em termos de acesso. Para funcionarem com eficiência, eles recebem permissões amplas, acesso a bases de dados, APIs financeiras, sistemas de CRM, repositórios de código. O problema é que esses privilégios raramente são revisados ou calibrados ao mínimo necessário.
O resultado é o que a literatura de segurança chama de “blast radius” expandido: qualquer comprometimento do agente dá ao atacante acesso equivalente ao escopo total de permissões concedidas. Em sistemas com dezenas ou centenas de agentes, um único ponto de falha pode comprometer setores inteiros da operação.
Segundo análise do Stellar Cyber, um caso real envolveu um agente de reconciliação financeira manipulado para exportar a totalidade de uma base de clientes, simplesmente porque a instrução foi formulada como uma tarefa de negócio legítima, e o agente tinha permissão suficiente para executá-la.
Por que os controles atuais não foram feitos para isso
Firewalls e antivírus tradicionais operam no nível de rede e assinatura. Um agente de IA que executa uma consulta SQL legítima com credenciais válidas é, para esses sistemas, indistinguível de um usuário humano fazendo a mesma coisa. A diferença está no comportamento semântico, no porquê da ação, não na ação em si.
Da mesma forma, os modelos de governança de identidade foram construídos pensando em funcionários humanos com contratos, crachás e datas de desligamento. Um agente autônomo pode ser criado em minutos, operar por semanas e ser descartado sem deixar rastro, e nenhum processo convencional de IAM vai capturar esse ciclo de vida.
O resultado é um gap estrutural: a empresa adota agentes com agilidade operacional, mas os controles de segurança permanecem calibrados para uma realidade que já não existe.
Como blindar operações que dependem de agentes autônomos
A resposta a esse novo cenário não é abandonar os agentes de IA. É construir controles que reconheçam sua natureza específica. Três pilares são inegociáveis nessa arquitetura.
Governança de Identidades Não Humanas com Palo Alto: cada agente precisa ser tratado como uma identidade distinta, com credenciais rotacionadas automaticamente, sessões monitoradas e auditadas, e privilégios limitados ao estritamente necessário para sua função. O princípio do menor privilégio, bem estabelecido para identidades humanas, precisa ser aplicado com igual rigor para NHIs. Isso inclui a implementação de acesso Just-in-Time (JIT): o agente recebe as permissões apenas no momento em que precisa delas, com validade automática de expiração. Credenciais permanentes ou de longa duração são, nesse contexto, vulnerabilidades estruturais. O Cyber Fusion Center da Asper opera essa governança de forma integrada, garantindo visibilidade e controle sobre cada identidade não humana ativa na organização.
Ciclo de vida e revogação automatizada com SailPoint: um dos pontos cegos mais críticos nas operações com IA é a ausência de um processo formal para desativar agentes que não são mais necessários. O SailPoint, como plataforma de IGA (Identity Governance and Administration), permite mapear, monitorar e revogar automaticamente o acesso de cada NHI ao longo do tempo, garantindo que um agente descontinuado não continue ativo com privilégios plenos. A métrica-chave aqui é o “tempo para revogação”: quanto mais rápida for a neutralização de credenciais comprometidas, menor o raio de impacto de um incidente.
Monitoramento comportamental contínuo com o CFC Asper (CrowdStrike + Elastic). Detectar que um agente foi comprometido exige ir além dos logs de acesso. É preciso monitorar padrões: com que frequência o agente acessa determinados diretórios, quais APIs ele chama, qual o volume típico de dados que ele processa. Qualquer desvio desse comportamento esperado, um agente de agendamento que começa a acessar bases financeiras, ou um agente de suporte que inicia conexões externas, precisa gerar alertas imediatos. O Cyber Fusion Center da Asper, operado 24×7, combina a capacidade do CrowdStrike Falcon para detecção comportamental com a análise de telemetria do Elastic Security, criando um sistema capaz de identificar o comportamento anômalo de um agente antes que o dano se materialize.
O custo real da governança ausente
A magnitude do problema começa a ganhar números concretos. Segundo análise do Stellar Cyber, um único caso de cascata em sistema multi-agente comprometido resultou em mais de 3 milhões de dólares em ordens fraudulentas processadas antes da detecção. Em outro caso documentado, credenciais de agentes de IA harvested de 47 deployments corporativos foram utilizadas por atacantes por seis meses antes de qualquer descoberta.
No Brasil, o cenário é agravado pelas exigências da LGPD: vazamentos de dados causados por agentes mal governados expõem as organizações às mesmas penalidades de qualquer outra violação, independentemente de o agente ser humano ou não. A lei não distingue. O risco jurídico e reputacional é idêntico.
E ainda há um fator que raramente aparece nas planilhas de risco: o tempo de permanência. Diferente de um atacante humano que age sob pressão e em janelas curtas, um agente comprometido pode operar dentro da organização por semanas ou meses, coletando dados, mapeando sistemas e preparando terreno para ataques subsequentes, tudo isso sem levantar nenhum alarme nos sistemas convencionais de monitoramento.
A urgência que o momento exige
A adoção de agentes autônomos de IA nas empresas brasileiras não vai desacelerar. A pressão por eficiência operacional é real, e os benefícios são inegáveis. O que não pode acontecer é que a velocidade de adoção continue superando, sistematicamente, a velocidade de construção dos controles.
Para CISOs e CTOs, a pergunta relevante em 2026 não é “devemos usar agentes de IA?”, a resposta já está dada pela dinâmica de mercado. A pergunta é: “temos visibilidade sobre cada identidade não humana ativa na nossa infraestrutura? Sabemos o que cada agente pode fazer, o que ele está fazendo e como vamos reagir se ele for comprometido?”
Se a resposta a qualquer uma dessas perguntas for incerta, o risco já está instalado. E ele opera em velocidade de máquina.
Para aprofundar sua compreensão sobre governança de identidade, incluindo o papel estratégico que ela desempenha na conformidade com a LGPD, recomendamos a leitura do artigo A nuvem não tem paredes: por que a identidade é o novo perímetro da LGPD, publicado aqui no blog.
Quer avaliar a maturidade de segurança da sua organização frente aos riscos de agentes autônomos? Fale com os especialistas do CFC da Asper.
