Introdução
Uma descoberta alarmante está sacudindo o mundo da segurança em inteligência artificial. Pesquisadores da Cisco descobriram que ataques multi-turn – aqueles que se estendem por várias interações em uma conversa – conseguem quebrar as defesas dos principais modelos de IA em até 88,3% das vezes. O estudo, que testou 15 modelos proprietários líderes de mercado incluindo ofertas da OpenAI, Anthropic, Google e xAI, expõe uma vulnerabilidade crítica que a maioria das empresas está ignorando em seus programas de segurança.
A revelação foi feita por Amy Chang, chefe de inteligência de ameaças e pesquisa de segurança em IA da Cisco, durante o painel sobre segurança de agentes no VB Transform 2026. Com quase duas décadas de experiência em cibersegurança, incluindo passagens pelo JPMorgan Chase e pela Marinha dos EUA, Chang trouxe números que deveriam preocupar qualquer executivo implementando agentes de IA em produção.
A diferença crítica entre testes single-turn e multi-turn
O estudo da Cisco analisou 30.090 prompts de turno único e 6.986 ataques multi-turn contra os 15 modelos. A diferença nos resultados foi dramática: enquanto os testes tradicionais de turno único capturam apenas uma fração das vulnerabilidades, os ataques que se adaptam ao longo de uma conversa expuseram falhas em todos os modelos testados, com taxas de sucesso variando de 7,89% a impressionantes 88,3%.
Para entender a gravidade, imagine a diferença entre testar a segurança de um banco com uma única tentativa de invasão versus um assaltante que volta várias vezes, aprendendo com cada interação e ajustando sua estratégia. É exatamente isso que acontece com os ataques multi-turn: o atacante usa as respostas do modelo para refinar progressivamente seu ataque, explorando pontos fracos que emergem apenas em conversas mais longas.
Chang explicou que o teste de turno único é como tirar uma foto instantânea – você vê apenas um momento. Já o teste multi-turn é mais realista, refletindo como usuários (e atacantes) realmente interagem com modelos de IA: através de conversas estendidas onde o contexto se acumula e as defesas podem ser gradualmente erodidas.
O estado preocupante da segurança de agentes nas empresas
Uma pesquisa da VentureBeat com 107 empresas revelou números que contextualizam a urgência do problema. Mais da metade (54%) já teve algum tipo de incidente de segurança com agentes de IA – 18% confirmaram incidentes reais e 36% tiveram quase-acidentes detectados antes de causar danos. Ainda mais preocupante: apenas 32% das empresas dão a cada agente sua própria identidade gerenciada e com escopo limitado, e somente 30% isolam seus agentes de maior risco em ambientes sandbox.
A realidade é que 82% das empresas ainda dependem principalmente de controles nativos dos provedores de IA como sua camada primária de segurança. É como confiar apenas nas travas de fábrica de um carro sem adicionar alarmes ou rastreadores adicionais – pode funcionar, mas deixa brechas significativas.
Essa lacuna de segurança não passou despercebida pelos grandes players do mercado. A Palo Alto Networks fechou uma aquisição de US$ 25 bilhões da CyberArk em fevereiro, a CrowdStrike concordou em pagar US$ 740 milhões pela SGNL em janeiro, e a própria Cisco anunciou a intenção de adquirir a Astrix Security por cerca de US$ 400 milhões. Todas essas movimentações miram especificamente a camada de identidade e isolamento que a maioria das empresas ainda não construiu adequadamente.
Como as empresas líderes estão se protegendo
Durante o painel, executivos da Box e da Intuit compartilharam suas abordagens práticas para segurança de agentes. Heather Ceylan, CISO da Box, descreveu uma arquitetura de três camadas concêntricas. Primeiro, o controle de permissões garante que o agente nunca acesse mais conteúdo do que o humano que o invocou teria acesso. Segundo, ambientes sandbox efêmeros são criados para cada tarefa do agente, contendo o raio de explosão caso algo dê errado. Terceiro, controles de execução em tempo real restringem as chamadas de ferramentas do agente apenas àquelas relevantes para a tarefa em questão.
A Box também categoriza as ações dos agentes em três níveis de supervisão: ações não sensíveis (como ler e resumir) não precisam de aprovação humana; ações moderadamente sensíveis pulam a aprovação mas são registradas e monitoradas; e ações destrutivas (como exclusão em massa de arquivos) sempre requerem intervenção humana.
Já a Intuit adotou uma abordagem mais sistêmica com sua plataforma GenOS (sistema operacional de IA generativa). Em vez de adicionar controles de segurança a cada agente individualmente, a empresa construiu uma plataforma central que abstrai segurança, risco e modelagem de fraude. Rajesh Parekh, VP de IA e ML da Intuit, explicou que cada agente carrega sua própria identidade em vez de herdar permissões do usuário, e a empresa está investigando mudanças de permissão no meio da sessão vinculadas a tarefas específicas.
O futuro da segurança de código e o papel dos agentes
Uma das declarações mais impactantes veio de Ceylan sobre o futuro das revisões de código. “Os dias das revisões de código seguro onde um humano analisa o código estão contados”, afirmou ela. A Box está construindo um ciclo de desenvolvimento totalmente agêntico onde agentes revisam documentos de design, aplicam requisitos de segurança e analisam código em busca de vulnerabilidades.
Embora otimista sobre um futuro onde agentes escreverão código sem vulnerabilidades de segurança, Ceylan reconhece que ainda estamos longe desse ideal. Por enquanto, o conselho dela para equipes de desenvolvimento é surpreendentemente básico: foque no princípio do menor privilégio. “Se você começar dando permissões excessivamente amplas aos seus agentes no início, é muito difícil reverter isso depois”, alertou.
O desafio da detecção de intenção
Um dos debates mais acalorados do painel surgiu quando a audiência questionou sobre detecção de intenção. Ceylan observou que quando o próprio agente da Box opera, o sistema sempre conhece a intenção do usuário porque controla o prompt, permitindo que guardrails e restrições sejam projetados adequadamente. O desafio real surge quando agentes externos se conectam e o contexto por trás da solicitação é opaco.
Essa discussão expôs uma divisão fundamental na indústria. Enquanto algumas empresas, como a Mastercard, apostam em quantificar e padronizar a intenção através de frameworks open-source, outras preferem confiar em análises probabilísticas para cargas de trabalho em produção. Chang explicou que os modelos, como são treinados hoje, não conseguem derivar intenção de forma confiável a partir de um prompt, tornando necessários controles determinísticos e proxies comportamentais.
Implicações para o mercado brasileiro
Para o contexto brasileiro, onde a adoção de IA está acelerando rapidamente em setores como bancos, varejo e indústria, essas descobertas são especialmente relevantes. Empresas que estão implementando chatbots, assistentes virtuais e agentes autônomos precisam repensar urgentemente suas estratégias de segurança.
A tendência de confiar apenas em controles nativos dos provedores de IA é particularmente preocupante no Brasil, onde muitas empresas ainda estão nos estágios iniciais de maturidade em segurança de IA. Com regulamentações como a LGPD exigindo proteção rigorosa de dados, um incidente de segurança envolvendo um agente de IA poderia ter consequências regulatórias e reputacionais severas.
Além disso, a escassez de profissionais especializados em segurança de IA no mercado brasileiro torna ainda mais crítico que as empresas adotem frameworks e plataformas que abstraiam a complexidade da segurança, similar ao que a Intuit fez com seu GenOS.
Conclusão
A pesquisa da Cisco serve como um alerta urgente para a indústria: os métodos tradicionais de teste de segurança são inadequados para a era dos agentes de IA. Com taxas de sucesso de até 88,3% em ataques multi-turn, fica claro que as empresas precisam evoluir rapidamente suas práticas de segurança ou enfrentarão as consequências em produção.
A mensagem final do painel foi contundente: teste da forma como os atacantes atacam – através de conversas completas e continuamente – ou descubra em produção o que seus testes de turno único deixaram passar. Para os 82% das empresas que ainda dependem principalmente de controles nativos dos provedores, e os 59% que estão procurando ferramentas de segurança para agentes nos próximos 12 meses, o momento de agir é agora.
Como Ceylan ilustrou com sua história sobre confiança colapsando após um único erro do agente, a segurança de IA agêntica não é um problema que se resolve uma vez e permanece resolvido. Modelos mudam, permissões derivam, e adversários se adaptam através de conversas multi-turn que testes instantâneos nunca capturam. A questão não é se sua organização enfrentará esses desafios, mas se estará preparada quando eles surgirem.
Fonte original: Este artigo foi adaptado e traduzido a partir da matéria publicada em VentureBeat, disponível em https://venturebeat.com/security/openai-anthropic-google-and-xai-models-all-broke-under-multi-turn-attack-up-to-88-of-the-time.
