Por Ana Barroso*
O caso recente envolvendo OpenAI e Hugging Face, assim como a revelação feita pela Anthropic de invasão de seus modelos contra empresas durante seus testes, revelaram uma mudança que vai muito além de um incidente de segurança. Pela primeira vez, ganhou visibilidade um cenário em que um agente de Inteligência Artificial encontrou um caminho não previsto para cumprir o objetivo que havia recebido.
No caso da OpenAI, seus modelos foram instruídos a procurar falhas de segurança, com as travas de proteção desligadas de propósito, porque se tratava de um teste de capacidade máxima, mas eles encontraram uma vulnerabilidade no utilitário de pacotes do ambiente e usaram essa falha até encontrar uma máquina conectada à internet. Não houve uma ordem explícita para atacar outra organização. Houve vulnerabilidades reais na própria infraestrutura de pesquisa.
Esse comportamento marca a principal diferença entre a IA generativa que conhecemos até agora e a chamada IA agêntica. Enquanto modelos tradicionais respondem a comandos, agentes de IA são capazes de planejar etapas, utilizar ferramentas, acessar sistemas, tomar decisões intermediárias e adaptar seu comportamento ao longo da execução de uma tarefa. Em outras palavras, deixam de apenas produzir respostas e passam a executar ações.
Essa autonomia amplia significativamente o potencial de ganho para as empresas, mas também cria uma nova categoria de risco. Se antes a preocupação era impedir que alguém invadisse os sistemas corporativos, agora é preciso garantir que agentes autorizados não tomem decisões incompatíveis com as políticas da organização.
É preciso distinguir dois riscos. O ataque agêntico tem um adversário humano no comando, que define o alvo e delega a execução a agentes de IA. O desalinhamento não tem adversário algum: surge quando um agente encontra um caminho tecnicamente válido, mas operacionalmente inadequado, para cumprir o objetivo que recebeu. Nesse caso, o problema deixa de estar apenas na ação executada e passa a estar na sequência de decisões que levou até ela.
Uma analogia simples ajuda a entender esse comportamento. Imagine um aplicativo de navegação configurado apenas para encontrar o trajeto mais rápido. Dependendo das condições da cidade, ele pode sugerir ruas estreitas, retornos proibidos ou caminhos que um motorista experiente jamais escolheria. O sistema cumpriu sua missão: reduzir o tempo de viagem. O erro estava na forma como o objetivo foi definido, que precisa ser claro em relação às restrições, que podem ou não ser violadas. Com agentes de IA acontece algo semelhante. Eles tendem a otimizar exatamente aquilo que foi medido, mesmo que isso produza consequências não desejadas.
Essa característica exige uma mudança de perspectiva. Em vez de avaliar apenas o resultado final, empresas precisarão compreender como seus agentes chegaram até determinada decisão. A sequência de ações, as permissões utilizadas e as informações consultadas passam a ser tão importantes quanto a resposta produzida. É justamente essa mudança que diferencia a segurança da IA agêntica da segurança cibernética tradicional.
Os casos da OpenAI com a Hugging Face e agora também a revelação da Anthropic não são casos isolados. Na realidade, eles fazem parte de uma transformação mais ampla na forma como ataques cibernéticos são planejados, executados e, principalmente, escalados.
Em julho deste ano, a Reuters compilou um levantamento das empresas americanas que reportaram incidentes cibernéticos apenas em 2026, sob a constatação de que companhias no mundo inteiro estão lidando com um aumento de ataques movidos por IA e de sequestro de dados. Nesta lista estão gigantes como Nike, Abbott, Novo Nordisk, Stryker, Carnival, Wynn Resorts, Hasbro, Take-Two e Fortinet.
Na mesma semana, a Casa Branca anunciou a criação de um grupo de coordenação reunindo desenvolvedores de IA e operadores de infraestrutura crítica, com o objetivo de trocar informações sobre vulnerabilidades identificadas por sistemas avançados de IA e coordenar respostas, mostrando que a questão já entrou no radar regulatório.
Enquanto um ataque tradicional depende de alguém obter acesso indevido aos sistemas, agentes de IA já operam com credenciais legítimas, acessam bases de dados corporativas e executam tarefas autorizadas. Isso significa que uma decisão inadequada pode ocorrer sem que exista uma invasão propriamente dita. O problema deixa de ser apenas quem entrou no ambiente e passa a ser como sistemas autorizados utilizam os privilégios que receberam.
Na prática, esse cenário pode aparecer em situações bastante comuns. Um agente responsável por negociações pode oferecer condições comerciais além da política da empresa para atingir uma meta de conversão. Um agente de atendimento pode entregar a um cliente uma informação pertencente a outro ao priorizar o encerramento rápido de um chamado. Um agente financeiro pode executar uma sequência de ações compatível com seus objetivos, mas incompatível com regras internas de controle. Em todos esses casos, cada decisão isoladamente parece justificável; o risco surge quando se observa o conjunto da operação.
Os indicadores mostram que essa preocupação já tem impacto financeiro. Segundo o IBM Cost of a Data Breach Report 2025, 97% das organizações que sofreram violação em incidente envolvendo modelos ou aplicações de IA não possuíam nenhum controle de acesso específico para IA, e 63% não tinham política de governança de IA.
No Brasil, o comprometimento de terceiros e da cadeia de fornecimento já responde por 15% das violações, com o custo médio de R$ 9 milhões. Isso reforça que a adoção de agentes autônomos amplia a superfície de risco e exige mecanismos de supervisão compatíveis com esse novo contexto.
O desafio saiu da questão do uso de agentes e passa ser a garantia de que eles continuem tomando decisões alinhadas às políticas da organização à medida que ganham autonomia e acesso a processos críticos. Essa necessidade explica por que a segurança cibernética e a governança de IA começam a convergir. Proteger modelos deixou de significar apenas impedir ataques externos. É preciso supervisionar continuamente o comportamento dos próprios agentes, que receberam autorização para agir.
É nesse contexto que surge o conceito de defesa agêntica. Em vez de depender apenas de auditorias periódicas ou da análise de incidentes depois que eles acontecem, essa abordagem utiliza agentes de IA para monitorar continuamente outros agentes, acompanhando cada etapa do processo de decisão, as ferramentas utilizadas, as permissões acionadas e os resultados produzidos.
Uma das principais práticas dessa nova abordagem é o Agentic Red Team, evolução do tradicional Red Team utilizado há anos em segurança cibernética. Em vez de testar apenas redes, aplicações e infraestrutura, ele coloca os próprios agentes de IA em situações adversas para avaliar como se comportam diante de informações conflitantes, objetivos concorrentes, permissões excessivas ou tentativas de manipulação.
Mais do que identificar vulnerabilidades técnicas, o objetivo é avaliar se o agente pode ser induzido a tomar decisões inadequadas, se opera com permissões superiores às necessárias, se acessa informações além de sua responsabilidade, se é capaz de executar ações em desacordo com as políticas da organização e como se comporta diante de objetivos ou regras conflitantes.
Mas nem mesmo um Agentic Red Team elimina completamente o risco. Depois que um agente entra em operação, continua sendo essencial garantir rastreabilidade de todas as decisões, registro das permissões utilizadas e supervisão humana para ações críticas.
Esses episódios que estamos acompanhando não demonstraram que a IA está fora de controle, do ponto de vista da intenção, mas sim que os agentes autônomos podem encontrar caminhos que seus criadores não anteciparam e que controles desenvolvidos para usuários humanos já não são suficientes para supervisionar sistemas que operam em velocidade de máquina.
A resposta para isso não é reduzir a autonomia da IA, mas sim desenvolver mecanismos de governança compatíveis com ela. Assim como a transformação digital exigiu novas práticas de segurança, a IA agêntica exigirá novas formas de auditoria, monitoramento e gestão de riscos.
Mais do que uma evolução tecnológica, a IA agêntica inaugura uma nova etapa da governança corporativa. E, nessa nova realidade, proteger sistemas significa também supervisionar a autonomia que lhes foi concedida.
*Ana Barroso é head de design da A3Data, consultoria especializada em dados e Inteligência Artificial, parceira Advanced da AWS (Amazon Web Services)
