Introdução
A implementação de agentes de inteligência artificial em ambientes corporativos tem revelado uma realidade preocupante: mesmo quando passam por processos rigorosos de autenticação, esses sistemas permanecem vulneráveis a uma nova categoria de ameaças. Problemas como envenenamento de memória (memory poisoning), desvio de dados (data drift) e vazamento de informações sensíveis estão desafiando as práticas tradicionais de segurança cibernética. Para CTOs e gestores de segurança que estão pilotando agentes de IA em produção, compreender essas vulnerabilidades emergentes tornou-se essencial para proteger seus ambientes corporativos.
A tendência observada em implementações reais mostra que as equipes de segurança frequentemente recorrem aos gateways como primeira linha de defesa, mas paradoxalmente, é justamente o controle para o qual estão menos preparadas. Isso ocorre porque os gateways dependem de camadas de identidade e atribuição que, na maioria dos casos, simplesmente não existem ou estão inadequadamente configuradas.
O problema real dos gateways de segurança
A gravidade dessas vulnerabilidades não é teórica. Em junho de 2024, a CISA (Cybersecurity and Infrastructure Security Agency) adicionou uma falha crítica do LiteLLM ao seu catálogo de vulnerabilidades conhecidas e exploradas, após detectar ataques ativos explorando essa brecha. O bug permitia a execução de comandos no host através do próprio gateway e, quando combinado com uma segunda falha, não requeria nenhuma credencial para ser explorado. Este foi apenas um dos sete CVEs (Common Vulnerabilities and Exposures) divulgados em um único gateway de IA em apenas um mês.
O que torna essa situação ainda mais preocupante é que muitas empresas brasileiras estão adotando exatamente essa camada – os gateways – como primeira medida de segurança para seus agentes de IA. É como construir uma casa começando pelo telhado: pode parecer lógico proteger-se da chuva, mas sem as fundações adequadas, toda a estrutura está comprometida.
A arquitetura correta de segurança para agentes
Ao considerar uma arquitetura segura para agentes de IA, os controles de gateway não devem ser a primeira implementação, mas sim a quinta. A maioria dos modelos de maturidade em segurança de agentes descreve os controles que uma empresa precisará no futuro, mas falha em abordar o problema mais complexo: em qual ordem esses controles devem ser implementados em conjunto com um sistema de gerenciamento de identidade e acesso (IAM) já existente?
Se o plano de controle não consegue identificar qual agente está agindo, quem delegou o trabalho, qual tarefa o agente deve executar e quais credenciais estão sendo usadas, então o contexto está incompleto. Um gateway pode bloquear violações claras de política, mas terá dificuldades para distinguir uma ação justificada de uma que é tecnicamente permitida mas operacionalmente inadequada.
O padrão de falha nas implementações
Imagine um cenário comum: um agente de reconciliação financeira tenta alterar um registro em produção. O gateway autentica o token do usuário e verifica a chamada da API. O que ele não consegue observar é que a solicitação foi iniciada por um agente, que este agente está executando uma função mais limitada, ou que a solicitação faz parte de uma cadeia de ferramentas invocada por um artefato não confiável. A credencial é válida, a chamada da API é permitida, mas a ação contradiz o propósito da delegação.
Os seis portões de segurança essenciais
Para resolver esse problema, é necessário implementar o que chamamos de ‘deployment com portões de dependência’. Cada controle upstream deve ser satisfeito antes que qualquer controle downstream seja considerado operacionalmente completo. Aqui estão os seis portões fundamentais:
1. Inventário de agentes e propriedade responsável: Cada agente em produção deve ter um proprietário nomeado, propósito definido, ferramentas aprovadas e estado de ciclo de vida documentado. Sem isso, a organização perderá a primeira hora crítica de resposta a incidentes tentando descobrir informações básicas.
2. Identidade distinta do agente com contexto de delegação: O sistema deve conseguir identificar não apenas o agente, mas também seu proprietário e o principal para quem está agindo. Um agente não deve estar escondido em um token de desenvolvedor ou conta de serviço compartilhada.
3. Credenciais de curta duração com escopo de tarefa: Um agente comprometido não deve conseguir acessar recursos não relacionados à sua tarefa designada. Isso pode ser implementado usando recursos de IAM como identidade de carga de trabalho, troca de tokens e acesso condicional.
4. Telemetria atribuível: Uma tarefa concluída deve poder ser reconstruída desde a iniciação até o efeito downstream. Para ambientes regulados, supervisão não atribuída não pode ser justificada.
5. Aplicação de ação em tempo de execução: As decisões de política devem incorporar contexto de agente, principal, tarefa e ação, não apenas validade de token.
6. Baselines comportamentais e kill path entre sistemas: A autoridade efetiva do agente deve poder ser interrompida em todos os lugares que alcança.
Implementação prática sem substituir seu IAM
A boa notícia para empresas brasileiras é que não é necessário projetar um programa de identidade completamente novo. Se o provedor de identidade existente não trata agentes como tipos de objeto nativos, comece com um registro autoritativo vinculado às identidades de carga de trabalho existentes. Em seguida, estenda identificadores de agente e tarefa como contextos de execução confiáveis, implemente credenciais de curta duração para mitigar privilégios herdados e inclua esses identificadores em logs de chamadas de ferramentas para ingestão posterior pelo gateway.
Um estudo da Teleport de 2024 com 205 líderes de segurança revelou dados alarmantes: organizações com IA super-privilegiada relataram uma taxa de incidentes de 76%, enquanto incidentes de IA ocorreram em apenas 17% das organizações que aplicam o princípio do menor privilégio. Isso indica que o escopo de acesso na cadeia de dependência é mais importante que a aplicação de runtime com reconhecimento de contexto.
O que isso significa para o mercado brasileiro
Para o mercado brasileiro, que está acelerando a adoção de agentes de IA em setores críticos como finanças, saúde e governo, essas descobertas são particularmente relevantes. A pesquisa da Okta de 2024 mostrou que apenas 34% dos executivos afirmam que suas organizações sempre aplicam o mesmo nível de rigor de segurança à sua força de trabalho de agentes quanto à sua força de trabalho humana.
Empresas que estão implementando agentes para automação de processos, atendimento ao cliente ou análise de dados precisam repensar sua abordagem de segurança. Não se trata apenas de adicionar mais camadas de proteção, mas de construí-las na ordem correta, com as dependências adequadas.
Ações práticas para os próximos 30 dias
Para organizações que querem melhorar sua postura de segurança imediatamente, recomenda-se começar com 10 agentes em produção. Para cada um, identifique o proprietário, propósito, ferramentas aprovadas e credenciais. Isso criará o início de um registro de agentes e fornecerá os primeiros insights sobre governança.
Em seguida, teste a atribuição. Descubra se seu IAM e logging conseguem distinguir cada agente do humano ou serviço que delegou a tarefa. Se essa diferenciação não for possível, um gateway estaria operando completamente às cegas.
Por fim, reconstrua uma tarefa completa de agente dentro de uma cadeia de ação, do início ao fim, incluindo efeitos downstream. Onde quer que a cadeia se quebre é onde sua implementação está falhando.
Conclusão
A segurança de agentes de IA representa um novo paradigma que exige repensar abordagens tradicionais de segurança cibernética. O problema não está na tecnologia de autenticação em si, mas na falta de contexto e atribuição adequados. Adicionar aplicação downstream antes do contexto necessário quebra a segurança do agente.
Para empresas brasileiras navegando nessa nova fronteira, a mensagem é clara: modelos de maturidade descrevem o destino, mas uma ordem de construção adequada é o que permite chegar lá sem quebrar a produção pelo caminho. A implementação bem-sucedida de agentes de IA seguros não é apenas uma questão técnica, mas uma questão de arquitetura e sequenciamento corretos dos controles de segurança.
Fonte original: Este artigo foi adaptado e traduzido a partir da matéria “AI agents that pass authentication can still drift, expose data, or get memory-poisoned” publicada em VentureBeat, disponível em https://venturebeat.com/security/ai-agents-that-pass-authentication-can-still-drift-expose-data-or-get-memory-poisoned.
