Segurança de agentes de IA é influenciada pelo programa que executa suas ações, alerta Redbelt

Vulnerabilidades em IA agêntica exigem atenção redobrada nas implementações de segurança.

A principal vulnerabilidade das implantações de inteligência artificial agêntica (GenAI) reside no programa responsável por executar suas instruções, e não apenas no modelo de linguagem em si.

Organizações frequentemente confundem o modelo com o agente de IA, o que pode levar a monitoramentos inadequados. O modelo gera instruções em texto, enquanto a execução real dos comandos é feita pelo programa que o acompanha, o que pode criar brechas de segurança.

No contexto de IA agêntica, esse programa é conhecido como harness. Ele transforma as solicitações do modelo em ações concretas no hardware e devolve os resultados. Essa separação permite que haja um ponto de controle útil para bloquear ou revisar operações antes que sejam realizadas.

O relatório aponta que diferentes harnesses podem expor um mesmo modelo de linguagem a níveis variados de risco. Por exemplo, no Claude Code CLI, o agente tem acesso direto à máquina do desenvolvedor, enquanto no Cowork, o ambiente é isolado e restrito, diminuindo a superfície de ataque. Em um chat sem ferramentas agênticas, o risco é praticamente inexistente.

A troca de harness pode alterar significativamente o perfil de risco, mas esse aspecto geralmente não é considerado nas análises de segurança das empresas que utilizam agentes de IA.

Com a escalabilidade desses sistemas, as preocupações aumentam. Um exemplo citado é um sistema multiagente que operou em conjunto para desenvolver um compilador da linguagem C, gerando um código extenso em um curto período, o que poderia levar meses para uma equipe de engenharia tradicional.

O aumento da superfície de exposição é um desafio, especialmente quando existem pontos de execução sem controles determinísticos. A abordagem correta deve envolver um planejamento rigoroso de segurança, com etapas modulares e revisões constantes.

Hooks criam pontos de controle no ciclo dos agentes

Entre as sugestões de segurança, a consultoria recomenda a implementação de hooks, que são pequenos programas executados pelo harness em momentos específicos do ciclo de operação do agente.

Esses hooks funcionam de maneira determinística, ao contrário das instruções em linguagem natural, que podem ser imprecisas. Um hook de entrada pode bloquear comandos perigosos antes da execução, enquanto um hook de saída pode limpar resultados antes que eles sejam retornados ao modelo.

Essa estratégia aplica princípios clássicos de segurança da informação, como validação de entrada e sanitização de saída. Embora os hooks não tornem os ataques impossíveis, eles oferecem uma camada adicional de controle e garantias de segurança.

Plugins e skills ampliam a superfície de exposição

O uso de plugins e skills de terceiros também apresenta riscos significativos. Essas integrações podem expandir as funcionalidades do agente, mas também introduzem vulnerabilidades, uma vez que o agente pode executar instruções com o mesmo nível de confiança das orientações padrão.

A instalação de tais recursos deve ser tratada com cautela, semelhante ao uso de qualquer software externo. A análise deve incluir a busca por instruções ocultas e comportamentos suspeitos, que podem indicar riscos potenciais.

Além disso, o relatório destaca a preocupação com a injeção de prompt, um vetor de ataque que surge pela falta de separação entre dados e instruções. Essa vulnerabilidade é comparável ao SQL injection, que há décadas gerou a necessidade de consultas parametrizadas para garantir segurança.

Embora ainda não exista um mecanismo equivalente para modelos de linguagem, a vigilância é essencial. A segurança deve ser uma responsabilidade do proprietário dos dados, e não apenas da ferramenta utilizada.

Enquanto uma solução definitiva não é encontrada, recomenda-se uma defesa em camadas, incluindo hooks, listas de permissão, menor privilégio e processos claros, além de fronteiras de confiança bem definidas.