Agentes de IA estão aumentando a superfície de ataque: o problema não é só prompt injection

Quando o assunto é segurança de inteligência artificial, a primeira preocupação que costuma vir à mente é o prompt injection — a técnica de enganar um modelo com instruções maliciosas escondidas em um texto. Mas para quem lida com segurança de verdade dentro das empresas, esse já deixou de ser o principal medo. Uma sondagem entre profissionais de cibersegurança realizada pelo site especializado Dark Reading mostrou que a inteligência artificial agêntica — sistemas de IA que executam ações por conta própria — foi apontada por 48% dos entrevistados como o principal vetor de ataque para 2026, à frente até de ameaças como deepfakes. O motivo não é uma única falha técnica, mas algo mais estrutural: cada agente de IA implantado numa empresa se torna, na prática, uma nova identidade com acesso a sistemas, e a maioria das organizações não tem controle sobre quantas dessas identidades já criou.

O verdadeiro problema: identidades que ninguém está contando

Diferente de uma pessoa que faz login com usuário e senha, um agente de IA normalmente opera por meio de chaves de API, tokens e credenciais de máquina — o que a indústria chama de "identidades não humanas". O crescimento desse tipo de identidade tem sido descrito por diferentes pesquisas de segurança como uma das mudanças mais rápidas — e menos monitoradas — do momento.

Levantamentos recentes divulgados ao longo de 2026 apontam que identidades não humanas já superam as humanas numa proporção que varia de 45 para 1 em empresas comuns a até 144 para 1 em ambientes nativos de nuvem. Apesar disso, pesquisas da Cloud Security Alliance mostram que 78% das organizações não têm política formal para criar ou remover identidades de IA, e a maioria nem sequer rastreia quantas identidades desse tipo foram geradas dentro de seus próprios sistemas. Some a isso outro dado relevante: 92% das empresas afirmam que suas ferramentas atuais de gestão de identidade e acesso simplesmente não foram feitas para lidar com agentes de IA.

Ferramentas de terceiros e "IA na sombra"

Parte do problema vem de fora do controle direto das equipes de segurança. Funcionários vêm adotando ferramentas de IA não aprovadas oficialmente pela empresa — prática conhecida como "shadow AI" — em ritmo acelerado: segundo o relatório de investigações de vazamento de dados divulgado em 2026, o uso de ferramentas de IA não autorizadas triplicou e já afeta 45% da força de trabalho. Cada uma dessas implantações não oficiais costuma gerar credenciais que ficam fora do alcance das políticas corporativas de gestão de segredos — nunca inventariadas, nunca rotacionadas.

O problema também aparece na infraestrutura usada para construir os próprios agentes. Uma análise de 77 vulnerabilidades catalogadas em frameworks populares de desenvolvimento de agentes — como LangChain, CrewAI, AutoGen e LlamaIndex — encontrou que 32% delas envolvem falhas de identidade, credencial ou controle de acesso, e que 73% de todas as vulnerabilidades registradas nesses frameworks são classificadas como críticas ou altas. Só no primeiro trimestre de 2026, foi registrado um recorde de 14 vulnerabilidades críticas nesse tipo de ferramenta em um único período de três meses — um sinal de que a infraestrutura de agentes está crescendo mais rápido do que a capacidade de proteger essa infraestrutura.

Por que isso vai além de um prompt malicioso

O prompt injection continua sendo uma porta de entrada real e relevante, mas os dados sugerem que o dano mais sério acontece depois que essa porta é aberta — quando um agente comprometido tem permissão para agir em vários sistemas ao mesmo tempo. É o mesmo ponto reforçado pelas listas mais recentes de segurança específicas para IA, que passaram a tratar o "excesso de autonomia" de um agente como um dos riscos que mais cresceram nos últimos rankings do setor.

Na prática, isso significa que um agente com credenciais de longa duração e permissões amplas pode transformar uma única falha pontual em uma cadeia de ataque completa, sem que seja necessário nenhum malware tradicional: basta que a credencial errada caia nas mãos erradas. Pesquisas sobre exposição de credenciais em nuvem mostram que atacantes já conseguem explorar chaves de acesso expostas, em média, em cerca de 17 minutos — enquanto quase um quarto das empresas ainda leva mais de 24 horas para revogar uma credencial comprometida depois de descoberta.

O que muda na forma de proteger sistemas com agentes

Diante desse cenário, especialistas em identidade e segurança de nuvem vêm defendendo uma mudança de abordagem, resumida em alguns princípios:

Eliminar credenciais de longa duração para agentes, substituindo-as por tokens de curta duração, válidos apenas para a tarefa em execução e emitidos por um intermediário de credenciais.

Aplicar o princípio de "privilégio zero por padrão": um agente só recebe acesso ampliado no momento exato em que precisa dele, nunca de forma permanente.

Garantir que sub-agentes criados por um agente principal tenham permissões mais restritas que as do agente que os originou — nunca as mesmas.

Tratar servidores que conectam agentes a ferramentas externas, como os baseados no protocolo MCP, como uma superfície de ataque de primeira classe, e não como um detalhe de infraestrutura.

Criar um inventário real de identidades não humanas, incluindo as geradas por ferramentas de IA adotadas informalmente pelos times, para reduzir a chamada "IA na sombra".

O consenso entre as pesquisas mais recentes é que a conversa sobre segurança de IA amadureceu: não basta mais perguntar se um modelo pode ser enganado por um texto malicioso. A pergunta que mais importa agora é o que um agente comprometido consegue fazer depois disso — e, para boa parte das empresas hoje, a resposta ainda é "mais do que deveria".