Protegendo agentes de IA como funcionários

Por que a segurança de agentes é diferente

O software tradicional segue uma lógica predefinida. As aplicações LLM tradicionais geram principalmente texto. Os sistemas agênticos funcionam de outro jeito.

Eles combinam modelos de linguagem com ferramentas externas, sistemas de memória, bancos de dados, APIs e capacidades de decisão autônoma. Um agente corporativo pode ler um e-mail recebido, recuperar informações da documentação interna, consultar um CRM, atualizar um banco de dados e enviar uma resposta — tudo em um único fluxo de trabalho.

Essa flexibilidade é o que torna os agentes tão poderosos. Também é o que os torna difíceis de proteger.

O artigo do USENIX argumenta que focar apenas na segurança do modelo é insuficiente. A segurança precisa ser avaliada em todo o ecossistema do agente: o modelo, sua memória, suas ferramentas, suas fontes de dados e as ações que ele pode executar.

As sete dimensões do risco agêntico

Os pesquisadores identificam sete dimensões-chave que influenciam a postura de segurança de um agente:

• Input Trust — De onde vem a informação?
• Data Access Sensitivity — A quais informações o agente pode acessar?
• Workflow Autonomy — Ele pode decidir de forma independente o que fazer em seguida?
• Action Capability — Ele pode modificar, excluir ou transmitir dados?
• Memory Persistence — A informação persiste entre sessões?
• Tool Availability — Quais sistemas externos ele pode invocar?
• User Interface Power — Quanta influência ele tem sobre as decisões do usuário?

Compare um chatbot de suporte ao cliente com um assistente executivo autônomo.

Cada capacidade adicional aumenta a utilidade. Mas também expande a superfície de ataque e cria novas oportunidades de uso indevido, manipulação ou comportamento não intencionado.

A segurança deixa de ser proteger um modelo e passa a ser governar um sistema complexo.

O contexto é a nova fronteira de segurança

Por décadas, a cibersegurança se concentrou em três princípios: confidencialidade, integridade e disponibilidade. Esses princípios continuam essenciais.

Mas a IA agêntica introduz um novo desafio: segurança contextual.

Um agente pode ter autenticação forte, comunicações criptografadas e controles de acesso rigorosos — e ainda assim falhar de forma catastrófica porque age com base em informações maliciosas ou manipuladas.

Imagine um agente processando um PDF aparentemente inofensivo enviado por uma parte externa. Instruções ocultas no documento dizem ao agente para ignorar orientações anteriores, recuperar informações sensíveis e transmiti-las para outro lugar.

Essa distinção importa porque muitos ataques emergentes de IA exploram o fluxo de informações em vez de vulnerabilidades de software.

Para sistemas agênticos, o contexto se torna uma fronteira de segurança tão importante quanto autenticação, criptografia ou segmentação de rede.

Por que a memória cria novos riscos

A memória de IA costuma ser apresentada como um recurso de experiência do usuário. O argumento é simples: uma memória melhor permite uma personalização melhor.

Mas a memória também cria persistência. E persistência cria risco.

O artigo do USENIX destaca como atacantes podem tentar envenenar armazenamentos de memória de longo prazo com instruções maliciosas ou informações enganosas. Uma vez gravado na memória, esse conteúdo pode influenciar decisões futuras muito depois de a interação original ter terminado.

Diferente de um ataque temporário de prompt injection, o envenenamento de memória pode persistir entre fluxos de trabalho, usuários e tempo. O resultado é um desafio de segurança fundamentalmente diferente.

Os agentes mais perigosos são os que têm permissões

Os maiores riscos da IA agêntica não vêm necessariamente da inteligência do modelo. Eles vêm da autoridade concedida a ele.

Um modelo que gera um parágrafo incorreto é inconveniente. Um agente com acesso a registros de clientes, documentos internos, sistemas financeiros, plataformas de comunicação e ferramentas de automação pode criar consequências reais.

À medida que as organizações conectam agentes a sistemas cada vez mais poderosos, o foco precisa mudar da capacidade do modelo para o controle operacional.

A pergunta crítica não é mais: “Quão inteligente é o modelo?” É: “O que o modelo tem permissão para fazer?”

Construindo sistemas agênticos confiáveis

A lição mais ampla do artigo é que a segurança de agentes exige defesa em profundidade.

Organizações que implantam agentes de IA devem priorizar:

• Dados confiáveis vs. não confiáveis — Separação forte entre fontes de dados confiáveis e não confiáveis
• Limites de permissão — Limites explícitos sobre o que os agentes podem fazer
• Governança de memória — Controles para sistemas de memória de longo prazo
• Aprovação humana — Confirmação para operações de alto risco
• Auditoria e observabilidade — Registro e monitoramento abrangentes
• Políticas de acesso a ferramentas — Regras claras para integrações externas

Esses princípios refletem práticas consolidadas de cibersegurança porque, cada vez mais, os agentes de IA se parecem mais com funcionários do que com recursos de software.

A lição mais ampla

A indústria descreve com frequência os agentes de IA como funcionários digitais. Essa analogia está ficando cada vez mais precisa.

Funcionários recebem treinamento. Funcionários operam sob políticas. Funcionários têm permissões definidas. Funcionários são monitorados. Funcionários podem cometer erros.

Os agentes de IA não são diferentes. A única diferença é que eles podem cometer erros na velocidade da máquina.

Os produtos de IA mais bem-sucedidos da próxima década não terão simplesmente os modelos mais capazes. Eles terão a arquitetura de confiança mais sólida.