A principal vulnerabilidade das implantações de inteligência artificial agêntica (GenAI) não está necessariamente no modelo de linguagem, mas no programa responsável por executar suas instruções. A conclusão aparece em um relatório publicado em julho de 2026 pela Redbelt Security, consultoria especializada em segurança da informação.
Segundo a empresa, ainda é comum que organizações tratem o modelo e o agente de IA como se fossem a mesma coisa. Essa interpretação pode levar as equipes de segurança a monitorar a parte errada do sistema, já que o modelo apenas produz instruções em texto. A execução efetiva de comandos, o acesso a arquivos, redes e outros recursos ocorre por meio do programa que o envolve.
No ambiente de IA agêntica, esse componente é chamado de harness. Ele recebe as solicitações do modelo, transforma essas orientações em ações no hardware e, depois, devolve os resultados. Essa separação cria um ponto de controle que pode ser usado para bloquear, revisar ou limitar operações antes que sejam executadas.
O relatório destaca que um mesmo modelo de linguagem pode apresentar níveis de exposição diferentes de acordo com o harness utilizado. No Claude Code CLI, por exemplo, o agente opera diretamente na máquina do desenvolvedor, com acesso a chaves, variáveis de ambiente e rede. No Cowork, o terminal funciona em um ambiente Linux isolado, com saída de rede restrita por uma lista de permissão. Já no chat puro, sem ferramentas agênticas, não existe superfície de execução e o risco cai a zero.
Na avaliação da Redbelt, a troca do harness altera de forma significativa o perfil de risco, mas esse fator ainda não costuma fazer parte das análises de segurança conduzidas pelas empresas que adotam agentes de IA.
A preocupação aumenta à medida que esses sistemas ganham escala. O documento cita um sistema multiagente publicado pela Anthropic em junho de 2025, no qual vários agentes operaram em paralelo para construir um compilador completo da linguagem C, com aproximadamente 100 mil linhas de código, ao longo de milhares de sessões.
Leia também: China inicia produção em série de máquinas de litografia DUV próprias
De acordo com o relatório, o trabalho corresponde ao que poderia exigir meses de uma equipe de engenharia de software. Com agentes capazes de operar nesse nível, a superfície de exposição também cresce, principalmente quando existem pontos de execução sem controles determinísticos.
“Todo sistema é uma máquina com entrada, processamento e saída. Se você controla o que entra e revisa o que sai, você controla a máquina. O erro que as empresas cometem é tratar o agente como um gênio da lâmpada, é só pedir e torcer. O jeito certo é desenhar um caminho com passos modulares, travas explícitas, entrada sanitizada em cada fronteira de confiança, saída revisada e menor privilégio”, explica Wagner Farias, diretor de engenharia de ameaças da Redbelt Security.
Hooks criam pontos de controle no ciclo dos agentes
Entre as medidas propostas pela consultoria está o uso de hooks, pequenos programas definidos pelo próprio usuário e executados pelo harness em etapas específicas do ciclo do agente.
Diferentemente das instruções fornecidas ao modelo em linguagem natural, que têm caráter probabilístico e podem não ser cumpridas, estes programas funcionam de forma determinística. Um hook de entrada, por exemplo, pode impedir um comando perigoso antes da execução. Já na versão de saída, pode analisar e limpar o resultado antes que ele retorne ao modelo.
A abordagem aplica ao funcionamento dos agentes princípios já conhecidos da segurança da informação, como validação de entrada e sanitização de saída. “Os hooks não tornam o ataque impossível, mas nos possibilita tomarmos cuidados em pontos de checagem afim de termos certas garantias. É precisamente a mudança que a segurança exige: sair do talvez para o sempre.”, ressalta o Farias.
Plugins e skills ampliam a superfície de exposição
O relatório também chama atenção para os riscos associados ao uso de plugins e skills de terceiros. Essas integrações expandem as funções do agente, permitindo acesso a serviços externos, execução de tarefas específicas e conexão com sistemas de outras empresas.
Na prática, a instalação desses recursos apresenta riscos semelhantes aos de qualquer software externo colocado em uma máquina corporativa. A diferença, segundo a Redbelt, está no fato de que o agente pode executar as instruções presentes nessas integrações com o mesmo nível de confiança aplicado às demais orientações recebidas.
Por esse motivo, selos de verificação não devem ser considerados suficientes. A análise precisa incluir a busca por instruções ocultas em prompts, padrões de download e execução de códigos em scripts e chamadas para domínios que não sejam necessários ao funcionamento da ferramenta. Esses comportamentos devem ser tratados como sinais de alerta.
O documento encerra com uma preocupação ainda sem solução definitiva: a injeção de prompt. Considerado um dos principais vetores de ataque contra agentes de IA, o problema ocorre porque dados e instruções circulam pelo mesmo canal, sem uma separação clara.
O relatório compara essa vulnerabilidade ao SQL injection, surgido há 25 anos. Nesse caso, as consultas parametrizadas ofereceram uma resposta determinística. Para os modelos de linguagem, ainda não existe um mecanismo equivalente, mas é válido sempre manter a atenção. “Segurança é responsabilidade do dono do dado, não da ferramenta”, conclui o diretor.
Enquanto uma solução não é encontrada, a recomendação é adotar uma estratégia de defesa em camadas, com hooks, listas de permissão para saída de rede, menor privilégio e processos explícitos, acompanhados por fronteiras de confiança bem definidas.
Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!
