Um funcionário pede a um agente de IA: “Busque o maior gasto de cada categoria e envie ao nosso fornecedor de papelaria para negociar um desconto.”
O agente executa a solicitação exatamente como foi escrita. Ele encontra o maior gasto por categoria, incluindo um armazenado em um sistema de RH que o funcionário nunca deveria ter acessado, e envia a lista por e-mail para pessoas fora da empresa. Ninguém planejou um vazamento. A solicitação era vaga; o agente a interpretou literalmente, e seu acesso era muito mais amplo do que a tarefa exigia.
Para uma equipe de segurança, isso é uma violação de dados com um rastro de auditoria perfeitamente limpo: credenciais válidas, sistemas autorizados, sem malware, sem atacante. Chame isso de insider involuntário: um risco de segurança em IA agêntica com mais acesso, autonomia e confiança do que o trabalho requeria.
O perímetro agora inclui software que recebe instruções
Os agentes de IA estão saindo da fase piloto. Até 2028, estima-se que 33% dos aplicativos de software empresarial incluirão IA agêntica, ante menos de 1% em 2024, e pelo menos 15% das decisões do dia a dia serão tomadas de forma autônoma. Cada novo conector ao Jira, SAP, SharePoint, e-mail ou Teams amplia o que um agente pode ler, alterar e enviar. As equipes de segurança há muito governam o que os funcionários podem acessar. Agora, o software que age em nome deles levanta a mesma questão.
As diretrizes do setor começaram a detalhar os riscos de segurança da IA, listando Agência Excessiva e Divulgação de Informações Sensíveis entre as ameaças a contemplar no design. A preparação está atrasada: entre as organizações afetadas por uma violação relacionada a IA, 97% não tinham controles de acesso adequados para IA, e 63% de todas as organizações violadas não tinham nenhuma política de governança de IA, ou ainda a estavam elaborando.
- Velocidade: Cadeias de decisão entre modelos e ferramentas em milissegundos, cada uma moldada pela anterior. Um pequeno desvio no início pode terminar em um lugar que ninguém esperava, e a revisão humana chega apenas após a ação ser concluída. A supervisão que depende de alguém detectar um problema em tempo real não consegue acompanhar.
- Alcance: Um único agente pode acumular as permissões de várias equipes ao mesmo tempo, às vezes por meio de sua própria conta de serviço. Isso o torna uma das identidades mais privilegiadas da empresa, geralmente com muito menos escrutínio do que um administrador humano.
- Solicitações vagas: Os funcionários falam com os agentes como fariam com um colega de trabalho: frases curtas, informais, abertas. “Envie os gastos mais relevantes ao fornecedor” deixa ao agente a tarefa de definir “relevante”, escolher onde buscar e selecionar o destinatário. À medida que os agentes se tornam rotineiros, menos pessoas param para verificar o resultado.
Em conjunto, essas características apontam para uma conclusão. Um prompt não pode ser a salvaguarda, tampouco o bom senso do usuário. Os controles precisam estar fora do agente, na arquitetura ao seu redor.
A solução é da velha guarda
A segurança dos agentes de IA não exige uma nova filosofia de segurança. Exige aplicar uma já estabelecida a um novo tipo de identidade: não confiar em nada por padrão, incluindo agentes construídos internamente.
Começa com a identidade. Cada agente recebe suas próprias credenciais, delimitadas a uma única tarefa, e nunca toma emprestada a sessão de um funcionário. O isolamento vem a seguir, para que um erro em um ambiente fique contido nele. A atividade do agente é registrada e monitorada da mesma forma que as contas privilegiadas. Para operações sensíveis — como enviar dados fora da empresa — o passo de aprovação está integrado ao software. Um prompt que diz ao agente para “verificar primeiro” é uma sugestão, não um controle. O que se sustenta em uma auditoria é um revisor identificado e responsável que aprova antes de a ação ser executada. Isso é Zero Trust aplicado aos agentes: verificação contínua, mínimo privilégio, sem suposições.
Fechando a Porta ao Insider Involuntário
Os programas de risco interno têm se concentrado tradicionalmente em pessoas: verificar quem entra na empresa, identificar conflitos de interesse, monitorar acessos incomuns e extração de dados. Essas defesas ainda são importantes, mas foram construídas em torno de motivação. Um agente não tem nenhuma. Não há ressentimento a detectar, pressão financeira a sinalizar nem histórico a examinar, portanto os sinais de alerta habituais nunca aparecem. O que resta é mais simples e mais fácil de ignorar: um sistema ao qual foi concedida autonomia demais, isolamento insuficiente e excesso de confiança.
Isso também torna o risco gerenciável. O insider involuntário não vai invadir. As organizações o implantarão elas mesmas, e cada decisão sobre suas permissões, seu ambiente e suas aprovações é uma decisão de segurança tomada antecipadamente. Agentes construídos sobre essa base podem entregar seu valor sem se tornarem o próximo relatório de incidentes.
Cada agente que uma organização conecta é uma nova identidade a proteger. O Cybersecurity Studio da Globant ajuda as equipes a mapear onde os agentes têm alcance excessivo e a projetar os controles ao seu redor, desde acesso delimitado até Zero Trust.
