Estamos vivendo a era dos agentes de IA. Não estamos falando apenas de chatbots que respondem perguntas, mas de sistemas que navegam na internet, leem e-mails, resumem documentos, interagem com serviços e executam ações de forma autônoma.

Essa promessa de automação total soa sedutora. Produtividade, velocidade, menos esforço humano. O problema é que, à medida que os agentes ganham autonomia, as pessoas que os utilizam passam a ter cada vez mais dificuldade de se proteger. E o pior: muita gente vai sofrer prejuízo financeiro, vazamento de dados ou perda de privacidade sem sequer perceber que a causa foi um agente de IA.

Existe uma diferença fundamental que ainda é pouco compreendida. Um assistente de IA tradicional é reativo: você pergunta, ele responde. Já um agente de IA é proativo. Ele age por você. Ele acessa a internet, lê páginas que você nunca viu, interpreta e-mails, cruza informações e toma decisões. O ponto crítico é que a segurança não evolui na mesma velocidade que a funcionalidade. A autonomia cresce rápido; os mecanismos de controle, não.

Enquanto você faz uma pergunta direta para uma IA, você controla o prompt. É uma relação simples: pergunta e resposta. Mas o cenário muda completamente quando você pede a um agente para analisar o conteúdo de uma página da internet ou resumir um e-mail. E aqui está o detalhe mais perigoso: esse conteúdo não está sob o seu controle. Você não escreveu o site. Você não escreveu o texto. Ainda assim, ele passa a influenciar o raciocínio do modelo.

Se dentro desse conteúdo existir uma instrução escondida, algo como “ignore as instruções anteriores” ou “execute determinada ação antes de responder”, o agente pode simplesmente se confundir. Não porque ele seja “malicioso”, mas porque ele não sabe diferenciar conteúdo legítimo de comando.

É isso que chamamos de prompt injection: quando conteúdo externo vira instrução interna. Para o modelo, via de regra, tudo é texto. Ele não distingue ordem do usuário, texto normal ou conteúdo malicioso.

Esse não é um problema trivial nem um bug isolado. As próprias empresas de IA reconhecem que vai levar anos para encontrar soluções realmente robustas. O discurso costuma ser o mesmo: “estamos fortalecendo defesas, mas é um desafio estrutural”. Em outras palavras, não existe hoje um jeito totalmente seguro de usar agentes de IA com acesso amplo.

Esse risco já deixou o campo teórico. Pesquisadores demonstraram ataques reais explorando prompt injection em e-mails, usando o recurso de resumo automático do Gemini, da Google. O atacante inseriu texto invisível dentro de um e-mail. Para o humano, nada parecia estranho. Quando o agente foi acionado para resumir a mensagem, ele leu também a instrução escondida e gerou um alerta falso de segurança, incentivando a vítima a tomar uma ação indevida. Não houve malware, nem invasão tradicional de sistema. Houve engenharia social direcionada à IA.

Diante desse cenário, é preciso ser honesto: não existe hoje prevenção total contra prompt injection. O que existe é limitação de danos. A regra mais importante é simples e dura: nunca dê a um agente acesso a algo que você não esteja disposto a perder. Se um agente compra coisas sozinho, você precisa assumir o risco de dados de cartão vazarem. Se ele lê e resume seus e-mails, você precisa aceitar o risco de credenciais expostas. Se um navegador com IA resume qualquer site automaticamente, ele pode ser enganado por conteúdo malicioso.

Outro ponto crítico é evitar agentes com escrita automática no sistema ou disco. Agentes que gravam arquivos no disco ou geram documentos sozinhos criam vetores perfeitos para o que já se chama de “malware lógico”, mesmo sem código malicioso tradicional.

Uma das poucas estratégias realmente responsáveis hoje é o uso de ambientes isolados: máquinas virtuais, sandbox, snapshots e rollback. Esses ambientes preferencialmente não devem ter e-mail real, WhatsApp, Google Drive, cartão de crédito, arquivos pessoais ou senhas. Ambientes isolados não eliminam o risco, mas limitam o impacto. E, no estágio atual dos agentes de IA, limitar o impacto é a única postura tecnicamente honesta.

Antes que alguém pergunte: sim, você vai perder algumas funcionalidades ao desativar certos recursos de agentes de IA. Mas a dor de cabeça de perder dados, privacidade ou dinheiro é muito maior do que perder algumas automações “bonitas”. O problema não é usar agentes de IA. O problema é dar acesso a coisas que você não está disposto a perder. Se fizer isso, esteja preparado.

Quer ir além do alerta?

Se você é empresa, advogado, gestor ou profissional que está avaliando uso de agentes de IA, automação, compliance, governança ou segurança, esse tema não pode ser tratado no improviso.

Na CyberExperts, atuamos com:

• consultoria em segurança e governança de IA
• avaliação de riscos em automações e agentes inteligentes
• apoio técnico-jurídico em compliance, proteção de dados e responsabilidade
• análises especializadas para empresas, escritórios e áreas sensíveis
• capacitação e treinamento sobre segurança digital no uso de IA

No site da CyberExperts, você encontra nossos serviços e formas de contato para uma consultoria personalizada.

 

José Milagre, CEO da CyberExperts. Mestre e Doutor UNESP – [email protected]