{"id":25446,"date":"2026-11-13T10:25:57","date_gmt":"2026-11-13T13:25:57","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=25446"},"modified":"2026-11-13T10:25:57","modified_gmt":"2026-11-13T13:25:57","slug":"adopting-cyberimmunity-for-ai-agent-design-rollout","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/25446\/","title":{"rendered":"Li\u00e7\u00f5es de ciberimunidade para agentes de IA"},"content":{"rendered":"

Proteger sistemas de IA \u00e9 muito mais dif\u00edcil do que proteger sistemas de TI tradicionais, seja contra erros dos operadores, interfer\u00eancias maliciosas ou simplesmente comportamentos inst\u00e1veis. H\u00e1 duas raz\u00f5es principais para isso. Primeiro, as respostas geradas pela IA s\u00e3o probabil\u00edsticas<\/a>, ou seja, o mesmo prompt pode produzir respostas diferentes a cada execu\u00e7\u00e3o. Segundo, os LLMs atuais n\u00e3o conseguem distinguir comandos de dados com confiabilidade<\/a>. Apesar dos problemas de seguran\u00e7a j\u00e1 demonstrados em<\/a> sistemas de IA sobre os quais j\u00e1 falamos tantas vezes, \u00e9 imposs\u00edvel ignorar o poss\u00edvel retorno econ\u00f4mico proporcionado por sua ado\u00e7\u00e3o. Por isso, muitas empresas est\u00e3o deixando de lado os simples assistentes de IA e passando a adotar agentes de IA. Esses agentes executam tarefas por conta pr\u00f3pria e t\u00eam acesso direto \u00e0s mesmas ferramentas que os humanos: desde a leitura de bancos de dados at\u00e9 a altera\u00e7\u00e3o de configura\u00e7\u00f5es em processos de produ\u00e7\u00e3o. Em seu novo estudo<\/a>, nossos especialistas analisam como identificar e minimizar claramente os riscos envolvidos, reduzindo ao m\u00e1ximo os poss\u00edveis problemas. A abordagem se baseia nos princ\u00edpios de imunidade cibern\u00e9tica e seguran\u00e7a desde a concep\u00e7\u00e3o, adaptando-os ao contexto da IA.<\/p>\n

Os princ\u00edpios b\u00e1sicos da seguran\u00e7a desde a concep\u00e7\u00e3o<\/h2>\n

Todos os princ\u00edpios dessa disciplina se aplicam ao projeto de qualquer sistema computacional, inclusive agentes de IA. O que varia \u00e9 o grau de adapta\u00e7\u00e3o e reformula\u00e7\u00e3o necess\u00e1rio para aplicar cada princ\u00edpio a cen\u00e1rios que envolvem IA.<\/p>\n

    \n
  1. A seguran\u00e7a \u00e9 um requisito independente e essencial desde a concep\u00e7\u00e3o. Os objetivos e as premissas de seguran\u00e7a s\u00e3o definidos desde o in\u00edcio e mantidos em todas as etapas do desenvolvimento. No caso dos agentes de IA, essas premissas devem abranger tr\u00eas pontos fundamentais: (i) o modelo de linguagem deve ser considerado n\u00e3o confi\u00e1vel; (ii) qualquer tipo de dado externo deve ser tratado como potencialmente malicioso; e (iii) a\u00e7\u00f5es irrevers\u00edveis n\u00e3o podem ser executadas de forma aut\u00f4noma sem a aprova\u00e7\u00e3o obrigat\u00f3ria de uma pessoa.<\/li>\n
  2. O sistema \u00e9 projetado com base na premissa de que ser\u00e1 atacado.<\/li>\n
  3. A base computacional confi\u00e1vel e a superf\u00edcie de ataque s\u00e3o reduzidas ao m\u00ednimo. Os agentes recebem apenas as ferramentas de que realmente precisam, permiss\u00f5es restritas e o m\u00ednimo poss\u00edvel de contexto. A aplica\u00e7\u00e3o das pol\u00edticas de seguran\u00e7a fica inteiramente a cargo de componentes determin\u00edsticos: o monitor de pol\u00edticas, a estrutura de execu\u00e7\u00e3o do agente (harness) e os mecanismos de isolamento (sandboxes).<\/li>\n
  4. Aplica-se o princ\u00edpio do privil\u00e9gio m\u00ednimo. Cada agente tem seu pr\u00f3prio conjunto de credenciais e privil\u00e9gios de acesso (identidade), restritos ao m\u00ednimo necess\u00e1rio para executar suas tarefas. Se um agente precisar de privil\u00e9gios elevados temporariamente, s\u00f3 poder\u00e1 obt\u00ea-los mediante aprova\u00e7\u00e3o externa, e eles ser\u00e3o v\u00e1lidos apenas pelo tempo necess\u00e1rio para executar a tarefa que os exige.<\/li>\n
  5. Os componentes s\u00e3o isolados. Em sistemas baseados em agentes, esse \u00e9 um dos desafios arquiteturais mais complexos e envolve diversas camadas. A estrutura de execu\u00e7\u00e3o do agente (harness) deve operar em um ambiente isolado (sandbox ou m\u00e1quina virtual), e os agentes devem permanecer o mais isolados poss\u00edvel uns dos outros. O processamento de dados em contextos confi\u00e1veis e n\u00e3o confi\u00e1veis tamb\u00e9m deve ocorrer de forma separada. Por exemplo, um agente l\u00ea uma solicita\u00e7\u00e3o de pull request e elabora uma vers\u00e3o preliminar do c\u00f3digo, enquanto outro revisa esse trabalho sem nunca ter acesso ao texto potencialmente malicioso da solicita\u00e7\u00e3o.<\/li>\n
  6. A regra \u00e9 negar o acesso por padr\u00e3o. As pol\u00edticas de seguran\u00e7a seguem o princ\u00edpio de que tudo o que n\u00e3o for explicitamente permitido ser\u00e1 proibido. Isso se aplica a chamadas de ferramentas, intera\u00e7\u00f5es entre agentes e tr\u00e1fego de rede.<\/li>\n
  7. A defesa em profundidade \u00e9 aplicada. Diferentes medidas devem atuar simultaneamente e se complementar, refor\u00e7ando a seguran\u00e7a do sistema. Defesas probabil\u00edsticas, como as barreiras de prote\u00e7\u00e3o da IA (uma esp\u00e9cie de \u201cfirewall\u201d para modelos de linguagem) ou o alinhamento (a pr\u00f3pria percep\u00e7\u00e3o do modelo sobre o que \u00e9 aceit\u00e1vel ou n\u00e3o), n\u00e3o oferecem garantias formais de seguran\u00e7a. Ainda assim, essas medidas contribuem para aumentar a seguran\u00e7a geral do sistema e fornecem dados de telemetria valiosos.<\/li>\n
  8. A cadeia de suprimentos \u00e9 protegida. Alguns agentes s\u00e3o capazes de instalar habilidades, bibliotecas e outros componentes de software por conta pr\u00f3pria. Por isso, essa possibilidade deve estar sujeita a regras rigorosas. Essas instala\u00e7\u00f5es devem ser totalmente bloqueadas ou restritas a uma lista fechada e pr\u00e9-aprovada de vers\u00f5es espec\u00edficas de determinados componentes. Sistemas baseados em LLMs na nuvem est\u00e3o sujeitos a um risco adicional: as atualiza\u00e7\u00f5es dos modelos. Um dia, a mesma solicita\u00e7\u00e3o \u00e0 API pode ser respondida por um modelo de linguagem diferente, com propriedades de seguran\u00e7a diferentes.<\/li>\n<\/ol>\n

    Armadilhas da seguran\u00e7a em sistemas de IA<\/h2>\n

    Os princ\u00edpios gerais da seguran\u00e7a desde a concep\u00e7\u00e3o s\u00e3o bem conhecidos e parecem simples na teoria. No entanto, aplic\u00e1-los a sistemas de IA \u00e9 complicado, pois os agentes s\u00e3o extremamente flex\u00edveis. Por exemplo, uma equipe de seguran\u00e7a pode acreditar que um agente instalado no computador de um desenvolvedor \u00e9 executado em um sandbox e, portanto, n\u00e3o consegue modificar nada fora dele. No entanto, um invasor, ou at\u00e9 mesmo o pr\u00f3prio agente, pode encontrar dezenas de maneiras de contornar essa prote\u00e7\u00e3o aparentemente s\u00f3lida: desde executar comandos por meio de um servidor MCP local n\u00e3o sujeito \u00e0s restri\u00e7\u00f5es do sandbox at\u00e9 reconfigurar outro agente de IA<\/a> instalado no sistema. Para complicar ainda mais as coisas, a variedade de vetores de ataque \u00e9 enorme: desde campos de imagem arbitr\u00e1rios na configura\u00e7\u00e3o do agente<\/a> at\u00e9 strings de texto em um arquivo de defini\u00e7\u00e3o de habilidades<\/a> aparentemente inofensivas.<\/p>\n

    Um problema s\u00e9rio que os desenvolvedores costumam subestimar \u00e9 a fadiga do usu\u00e1rio. Um agente muito ativo pode exibir dezenas de solicita\u00e7\u00f5es por minuto, pedindo ao usu\u00e1rio que confirme a\u00e7\u00f5es potencialmente perigosas. Em menos de uma hora, a pessoa j\u00e1 est\u00e1 clicando em Aprovar<\/em> no piloto autom\u00e1tico<\/a>, sem ler o que est\u00e1 aprovando. Por isso, \u00e9 fundamental ajustar cuidadosamente tanto a frequ\u00eancia dessas solicita\u00e7\u00f5es quanto a maneira como s\u00e3o redigidas. Ningu\u00e9m vai ler uma descri\u00e7\u00e3o de solicita\u00e7\u00e3o longa demais. Por outro lado, uma descri\u00e7\u00e3o curta demais omitir informa\u00e7\u00f5es essenciais<\/a> para que o usu\u00e1rio tome a decis\u00e3o correta.<\/p>\n

    As vulnerabilidades em agentes e nas ferramentas associadas representam um problema urgente, agravado pela rapidez com que esses softwares evoluem e recebem atualiza\u00e7\u00f5es. Plataformas e aplicativos amplamente utilizados no setor, como LangGraph<\/a>, MS Semantic Kernel<\/a> e Claude Code<\/a>, j\u00e1 tiveram vulnerabilidades cr\u00edticas corrigidas mais de uma vez. Os arquitetos devem sempre considerar a substitui\u00e7\u00e3o de frameworks grandes e abrangentes por sistemas compactos e enxutos, que ofere\u00e7am apenas os recursos realmente necess\u00e1rios para cada agente.<\/p>\n

    Al\u00e9m disso, implementar cuidadosamente medidas de seguran\u00e7a consagradas nas ferramentas dispon\u00edveis reduz significativamente os danos caso um agente seja atacado ou apresente um comportamento inesperado. Um exemplo \u00e9 o uso de uma lista de permiss\u00e3o rigorosa de dom\u00ednios que a ferramenta de busca na Web pode acessar a pedido do agente. No entanto, os desenvolvedores raramente levam em conta os problemas ocultos e os custos operacionais associados \u00e0 manuten\u00e7\u00e3o dessa lista. Como resultado, ela fica gradualmente desatualizada e acaba deixando brechas que podem ser exploradas por invasores. O exemplo mais emblem\u00e1tico \u00e9 o ataque EchoLeak<\/a>. O Microsoft 365 Copilot contava com uma lista de permiss\u00e3o bem implementada e relativamente eficaz para acessar sites externos, mas os invasores conseguiram contorn\u00e1-la por meio de uma funcionalidade de uma ferramenta secund\u00e1ria e do dom\u00ednio do MS Teams.<\/p>\n

    Dicas pr\u00e1ticas para arquitetos e equipes de seguran\u00e7a<\/h2>\n

    Os arquitetos de sistemas de IA e os l\u00edderes das equipes de engenharia e seguran\u00e7a devem incorporar os requisitos de seguran\u00e7a dos agentes desde a concep\u00e7\u00e3o. Eles devem priorizar mecanismos verific\u00e1veis e determin\u00edsticos, como o isolamento de componentes, o controle das intera\u00e7\u00f5es e a redu\u00e7\u00e3o ao m\u00ednimo da base computacional confi\u00e1vel.<\/p>\n

    As principais decis\u00f5es arquiteturais incluem definir o n\u00edvel de autonomia aceit\u00e1vel para os agentes, limitar o acesso a dados confidenciais e a combina\u00e7\u00f5es perigosas de funcionalidades, al\u00e9m de utilizar sandboxes, atribuir fun\u00e7\u00f5es distintas a diferentes modelos e implementar gateways de controle de acesso. Restri\u00e7\u00f5es adicionadas posteriormente podem reduzir os riscos, mas n\u00e3o substituem uma arquitetura segura.<\/p>\n

    Nos n\u00edveis organizacional e operacional, as empresas precisam manter um invent\u00e1rio de seus agentes, coordenar os esfor\u00e7os das equipes de seguran\u00e7a e implementa\u00e7\u00e3o, proteger os ambientes de cont\u00eaineres, gerenciar a cadeia de suprimentos (AIBOM) e integrar uma estrat\u00e9gia de defesa em v\u00e1rias camadas.<\/p>\n

    A observabilidade requer aten\u00e7\u00e3o especial. Em sistemas de IA, isso inclui registrar as solicita\u00e7\u00f5es, respostas e etapas de racioc\u00ednio do LLM, al\u00e9m de coletar dados detalhados de telemetria dos hosts e ambientes de nuvem nos quais a estrutura de execu\u00e7\u00e3o do agente opera.<\/p>\n

    O maior desafio no projeto de agentes \u00e9 encontrar o equil\u00edbrio entre seguran\u00e7a, desempenho e utilidade. Para saber como encontrar esse equil\u00edbrio por meio da modelagem de amea\u00e7as e da defini\u00e7\u00e3o clara de objetivos de seguran\u00e7a, leia a vers\u00e3o completa do estudo<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Como aplicar os conceitos de seguran\u00e7a desde a concep\u00e7\u00e3o na implementa\u00e7\u00e3o de agentes de IA.<\/p>\n","protected":false},"author":2706,"featured_media":25447,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1119,1655,1656],"tags":[1382,1342,3376,40],"class_list":["post-25446","post","type-post","status-publish","format-standard","has-post-thumbnail","category-business","category-enterprise","category-smb","tag-aprendizado-de-maquina","tag-ia","tag-llm","tag-seguranca"],"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/25446\/"},{"hreflang":"en-in","url":"https:\/\/www.kaspersky.co.in\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31180\/"},{"hreflang":"en-ae","url":"https:\/\/me-en.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/26212\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/13770\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31022\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/32564\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31109\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/42919\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/15021\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/56619\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/24525\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/33963\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/adopting-cyberimmunity-for-ai-agent-design-rollout\/31176\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/36921\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/adopting-cyberimmunity-for-ai-agent-design-rollout\/36592\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/ia\/","name":"IA"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/25446","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/2706"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=25446"}],"version-history":[{"count":3,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/25446\/revisions"}],"predecessor-version":[{"id":25450,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/25446\/revisions\/25450"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/25447"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=25446"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=25446"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=25446"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}