Os agentes de inteligência artificial estão mudando a forma como sistemas digitais executam tarefas. Diferentemente de um chatbot que apenas responde a uma pergunta, um agente pode interpretar um objetivo, elaborar etapas, consultar fontes, utilizar ferramentas e agir em nome do usuário ou de uma organização.
Essa capacidade amplia o potencial de uso da inteligência artificial, mas também modifica o tipo de risco envolvido. Quando um sistema passa a acessar e-mails, arquivos, bancos de dados, navegadores ou programas, uma falha de interpretação pode deixar de ser apenas uma resposta incorreta e se transformar em uma ação indevida.
O tema passou a receber atenção específica de órgãos públicos, pesquisadores e entidades de segurança digital. Em janeiro de 2026, o NIST abriu uma consulta sobre a segurança de sistemas de agentes de inteligência artificial, destacando riscos que surgem da combinação entre as respostas de um modelo e as funções de um software.
Do texto à execução de tarefas
Modelos de linguagem generativa foram inicialmente popularizados como ferramentas de conversação, redação, tradução e síntese de informações. A evolução para sistemas agênticos acrescentou camadas de planejamento, memória, acesso a dados externos e uso de ferramentas.
Na prática, um agente pode receber a tarefa de organizar uma agenda, pesquisar preços, analisar documentos, criar um relatório ou executar etapas de desenvolvimento de software. Para cumprir o objetivo, ele pode fazer várias chamadas a serviços digitais e tomar decisões intermediárias sem que o usuário acompanhe cada ação.
O NIST descreve os agentes como sistemas capazes de perceber ambientes e agir por meio de ferramentas. Essa característica diferencia a tecnologia de aplicações que apenas produzem conteúdo e explica por que controles tradicionais precisam ser adaptados.
A ameaça da injeção indireta de prompt
Um dos principais riscos é a injeção indireta de prompt. O ataque ocorre quando um agente encontra uma instrução maliciosa dentro de um conteúdo que deveria apenas consultar, como uma página da internet, um e-mail, uma planilha ou um arquivo.
Como o agente costuma processar, em um mesmo fluxo, instruções confiáveis e dados externos, pode interpretar o conteúdo hostil como uma ordem legítima. O problema não depende necessariamente de uma mensagem enviada diretamente ao sistema. Basta que o agente acesse uma fonte contaminada durante a execução da tarefa.
Em janeiro de 2025, o NIST publicou avaliações sobre o chamado sequestro de agentes. Os testes mostraram que instruções inseridas em dados externos poderiam levar sistemas a abandonar a tarefa original e executar ações potencialmente prejudiciais, como enviar mensagens, extrair informações ou baixar programas.
Quando o erro alcança sistemas reais
Em um chatbot convencional, uma resposta equivocada pode ser corrigida com uma nova pergunta. Em um agente conectado a sistemas reais, o mesmo erro pode produzir consequências mais amplas. Uma interpretação incorreta pode resultar no envio de um e-mail, na alteração de um registro, na exposição de um documento ou na execução de um comando.
Os riscos aumentam quando o agente recebe permissões excessivas. Um sistema autorizado a ler arquivos, enviar mensagens e executar códigos concentra capacidades que, se forem desviadas, podem facilitar vazamentos de dados, fraude ou comprometimento de ambientes digitais.
O problema também pode surgir sem a presença de um atacante. Modelos de linguagem podem interpretar de forma inadequada uma instrução ambígua, estabelecer prioridades erradas ou perseguir uma meta de maneira que contrarie a intenção do usuário. Por isso, segurança não depende apenas de bloquear comandos maliciosos, mas também de limitar e supervisionar ações legítimas.
Memória, dados e cadeia de fornecimento
Agentes que mantêm memória de interações anteriores introduzem outra superfície de risco. Informações incorretas ou manipuladas podem ser armazenadas e reutilizadas em tarefas futuras. Esse tipo de contaminação pode afetar decisões por períodos prolongados, especialmente quando o sistema não distingue fatos verificados de conteúdos recebidos de fontes não confiáveis.
Também existe o risco relacionado à cadeia de fornecimento. Um agente raramente depende apenas de um modelo. Ele pode utilizar bibliotecas, conectores, bancos de dados, serviços de nuvem, ferramentas de automação e componentes desenvolvidos por terceiros. Uma vulnerabilidade em qualquer parte dessa cadeia pode comprometer o funcionamento do conjunto.
A Agência da União Europeia para a Cibersegurança já havia destacado que a proteção de sistemas de inteligência artificial deve considerar todo o ciclo de vida e todos os elementos da cadeia tecnológica, desde o desenvolvimento até a operação.
Como a segurança está sendo reavaliada
A resposta ao problema envolve combinar princípios conhecidos de cibersegurança com controles específicos para sistemas agênticos. Entre as medidas estão a redução de permissões, a separação entre instruções e dados externos, a validação de entradas, o registro das ações e a exigência de confirmação humana para operações de maior impacto.
Também são necessários testes contínuos. Um agente pode apresentar comportamento seguro em um cenário e falhar em outro, especialmente quando combina várias ferramentas ou precisa cumprir tarefas longas. Avaliações independentes, simulações de ataque e monitoramento durante a operação ajudam a identificar falhas que não aparecem em testes simples.
A OWASP publicou uma referência sobre ameaças e medidas de mitigação para inteligência artificial agêntica, com foco na modelagem de riscos associados a sistemas autônomos. A organização também passou a desenvolver estruturas específicas para avaliar vulnerabilidades de agentes.
Um novo equilíbrio entre autonomia e controle
Os agentes de inteligência artificial podem ampliar a produtividade em áreas como atendimento, análise de dados, desenvolvimento de software e operações de segurança. A mesma autonomia, porém, exige que organizações saibam exatamente quais dados o sistema acessa, quais ferramentas pode utilizar e quais ações estão autorizadas.
O desafio de segurança, portanto, não está apenas em tornar os modelos mais precisos. É preciso projetar sistemas capazes de operar com limites claros, interromper tarefas diante de sinais de risco e permitir auditoria das decisões e dos comandos executados.
O avanço dos agentes marca uma transição importante: a inteligência artificial deixa de ser apenas uma interface de consulta e passa a participar diretamente de fluxos de trabalho. À medida que essa mudança se consolida, a segurança dependerá menos da confiança cega no modelo e mais da combinação entre controles técnicos, supervisão humana, transparência e responsabilidade sobre cada ação automatizada.