Como proteger as empresas contra ataques de Agentes de IA

Os ataques de agentes de IA forçam as organizações a adotar arquiteturas de segurança com capacidade de validação independente, isolamento de processos e controlo de privilégios. A utilização de sistemas autónomos com acesso a ferramentas corporativas acelera fluxos de trabalho, mas amplia a superfície de exposição perante credenciais comprometidas ou manipulação de instruções. A proteção sustentável exige a combinação entre limites estritos de execução e supervisão humana em operações de impacto crítico.

A nova superfície e os agentes autónomos em cibersegurança

Os agentes autónomos em cibersegurança operam através da interpretação de contexto, decomposição de objetivos e seleção dinâmica de ferramentas de rede. Esta flexibilidade técnica permite a automatização de tarefas de reconhecimento, análise de vulnerabilidades e intrusão com elevado ritmo operacional. A ameaça distribui-se por três cenários operacionais distintos:

• Aceleração de operações humanas: operadores que utilizam modelos para acelerar etapas manuais de reconhecimento e escrita de código malicioso.
• Sistemas ofensivos dedicados: agentes concebidos diretamente para executar tarefas de intrusão, movimentação lateral e exfiltração sem supervisão contínua.
• Compromisso de agentes legítimos: sistemas corporativos autorizados que sofrem desvio de finalidade através de instruções hostis ou roubo de credenciais.

Vetores de risco e injeção indireta de instruções

A injeção indireta de instruções constitui o vetor primário de compromisso em ecossistemas onde o modelo processa dados de fontes externas e executa chamadas de funções. O conteúdo hostil pode residir em páginas web, documentos partilhados, mensagens de correio eletrónico, pedidos de suporte ou respostas de interfaces de programação. A interpretação desses dados como uma ordem de sistema desvia o comportamento original do agente para tarefas de extração não autorizada ou consulta de recursos vedados.

Para mitigar este vetor em conformidade com as diretrizes do consórcio OWASP, as organizações devem aplicar as seguintes medidas de proteção técnica:

• Tratamento de dados externos: classificar qualquer entrada de terceiros como não confiável antes do processamento pelo modelo.
• Segregação de contexto: separar de forma estrita as instruções de sistema, o contexto operacional e o conteúdo recuperado da web.
• Validação por esquema: verificar todos os argumentos enviados para as ferramentas através de formatos estruturados e tipificados.
• Mediação completa: aplicar autorizações próprias nos sistemas de destino para validar cada pedido sem delegar a decisão de segurança no modelo.
• Auditoria de atividade: manter registos completos de todas as entradas, decisões lógicas, chamadas de funções e resultados obtidos.

Mapeamento de ameaças com a matriz MITRE ATLAS

O referencial MITRE ATLAS organiza o catálogo de táticas e técnicas adversariais direcionadas a sistemas de inteligência artificial para estruturar os planos defensivos das organizações. A matriz oferece uma taxonomia transversal para avaliar riscos em modelos, fluxos de dados, aplicações empresariais e agentes de software.

A aplicação eficaz deste referencial exige um inventário estruturado e a execução de testes práticos:

1. Inventário da infraestrutura: identificação de modelos ativos, ferramentas autorizadas, fontes de dados e permissões atribuídas a cada fluxo.
2. Mapeamento de técnicas: associação de cada componente às ameaças catalogadas, com distinção entre agentes de consulta interna e sistemas com acesso à web e envio de mensagens.
3. Simulações de intrusão: realização de exercícios de equipas de teste em ambientes de homologação para avaliar a resiliência perante ataques de agentes de IA.
4. Avaliação de controlos: verificação da capacidade dos sistemas de deteção para travar tentativas de injeção, desvios de finalidade e ciclos de consumo excessivo de recursos.

Privilégio mínimo para modelos de linguagem e isolamento de processos

A aplicação do privilégio mínimo para modelos de linguagem restringe o acesso de cada agente às ferramentas e aos dados estritamente necessários para a execução da tarefa designada. Um agente vocacionado para a consulta de faturas não deve deter privilégios para eliminar tabelas, criar contas de administração ou alterar regras de comunicação de rede.

As operações de elevado impacto exigem autorização contextual por parte de um operador humano. Essa validação deve exibir com clareza o recurso afetado, a operação solicitada e os dados envolvidos na transação antes de qualquer execução irreversível.

Respostas automatizadas a incidentes e supervisão contínua

As respostas automatizadas a incidentes permitem mitigar ameaças em tempo real através de agentes defensivos que operam sob limites de atuação predefinidos. Estes sistemas analisam registos, detetam sequências anómalas de chamadas a ferramentas e executam ações imediatas de contenção tática. A classificação prévia das ações por nível de criticidade assegura a estabilidade dos serviços corporativos.

• Ações de baixo impacto (Execução Imediata): suspensão temporária de credenciais com atividade anómala, isolamento preventivo de nós de rede e bloqueio de endereços externos suspeitos.
• Ações de alto impacto (Validação Manual Obrigatória): interrupção de serviços críticos de produção, eliminação de dados estruturais e alterações definitivas nas políticas de identidade.

A defesa sustentável contra ataques de agentes de IA assenta na convergência entre velocidade de resposta computacional e julgamento humano. Os agentes defensivos assumem a triagem e a contenção imediata, enquanto os analistas preservam a liderança na definição de políticas de acesso, gestão de risco e conformidade regulatória.

Outros artigos interessantes:

• Adoção de IA sem supervisão afeta cibersegurança nas PME
• Segurança de IA em processos críticos falha na Meta
• Riscos de segurança em modelos de IA ameaçam organizações em 2026