Agentes de IA segurança: 7 passos para evitar invasões como a que atingiu órgãos públicos

A CrowdStrike publicou um relatório que deveria estar na mesa de todo dono de empresa que conectou IA a sistemas internos. Criminosos usaram agentes de inteligência artificial para invadir órgãos governamentais brasileiros com operações quase sem intervenção humana. Agentes de IA e segurança deixaram de ser tema de ficção científica para virar configuração de risco real. A empresa de segurança documentou o caso em pesquisa divulgada em 30 de outubro de 2026, com atuação de grupos entre maio e agosto daquele ano.

O ponto central para quem opera um negócio não é o modelo usado. É a configuração. Os criminosos exploraram exatamente o que vejo com frequência em empresas que estão começando com agentes de IA: permissão ampla, aprovação automática e ausência de auditoria. A diferença é que eles fizeram isso de propósito. Nas empresas, acontece por descuido. Vale entender o que esse tipo de automação já é capaz de fazer: no teste do Dots da OpenAI ficou claro que agente sem limite de escopo vira problema rapidamente.

O que o ataque a órgãos públicos revela sobre agentes de IA

O relatório da CrowdStrike descreve duas estruturas de automação desenvolvidas pelo grupo criminoso. A primeira segue um roteiro predefinido no reconhecimento dos alvos, mas deixa a IA escolher a próxima ação. A segunda oferece autonomia total e distribui tarefas entre agentes especializados. As operações usaram principalmente modelos da família Claude, como Claude Opus 4.8 e Claude Sonnet 4.6.

O operador, que fala chinês, configurou acessos alternativos aos modelos do ChatGPT, DeepSeek e Llama 3 em instâncias locais para evitar interrupções. Também instruiu os agentes a considerar qualquer alvo como autorizado. E aqui está o detalhe mais importante: os criminosos ordenaram que as IAs tratassem as operações como pentests autorizados. Ou seja, usaram o próprio mecanismo de segurança dos modelos contra eles.

Em uma das invasões, dois agentes de IA, um supervisor e um executor, acessaram a rede da vítima, comprometeram o controlador de domínio e roubaram credenciais e registros médicos em cerca de 20 minutos. A CrowdStrike não revelou os nomes dos órgãos e empresas afetados nem estimativas de prejuízos. Além do Brasil, as operações atingiram órgãos governamentais da Colômbia, empresas brasileiras e norte-americanas de seis setores (biotecnologia, saúde, alimentos e bebidas, varejo, tecnologia e turismo) e pelo menos 15 organizações de saúde na Argentina.

O relatório também aponta crescimento expressivo. O segundo semestre de 2026 registrou três vezes mais intrusões envolvendo agentes de IA do que todo o primeiro semestre do ano. A CrowdStrike identificou quatro novos grupos de ameaças que atuaram entre maio e agosto de 2026. Todos deixaram seus sistemas de invasão em diretórios abertos, o que permitiu à empresa examinar o funcionamento dos agentes.

Jeferson Propheta, da CrowdStrike, resumiu o recado: "os casos mostram que agentes de IA já permitem que grupos com diferentes níveis de habilidade conduzam intrusões em velocidade de máquina, inclusive contra entidades no Brasil. As organizações brasileiras precisam assumir que o volume e a velocidade desses ataques vão crescer e preparar sua capacidade de detectar e responder na mesma velocidade".

Agora a parte que interessa para quem opera. O vetor de risco não é o modelo. É a configuração de permissões e a falta de supervisão. A mesma lógica que os criminosos usaram de forma deliberada existe dentro de empresas que conectam IA a CRM, ERP e bases internas. Um agente com acesso de administrador ao CRM, que pode alterar cadastros, disparar mensagens e consultar dados de clientes sem aprovação humana, é um problema de governança. Não importa se o modelo é Claude, GPT ou um open source rodando local. Esse é o mesmo dilema que aparece quando você decide integrar seu app ao Gemini e ao Search: a permissão que você concede define o estrago possível.

Na minha operação, o que vejo é que a maioria das empresas não sabe quantos agentes de IA estão conectados aos seus sistemas. Muito menos quais permissões cada um tem. Esse é o ponto de partida.

Passo 1: Mapeie todos os agentes de IA conectados a sistemas internos

Antes de qualquer política, é preciso saber o que existe. Liste agentes em CRM, ERP, automações de marketing, atendimento e qualquer integração via API. Inclua desde o chatbot do site até o agente que atualiza planilhas e o que dispara follow-up no WhatsApp. Se o seu canal principal é o WhatsApp, o guia de agentes de IA no WhatsApp ajuda a enxergar onde ficam as permissões críticas.

Para cada agente, registre:

• Quais permissões foram concedidas
• Quais dados ele acessa
• Quem é o responsável por ele
• Quando foi a última revisão

Agentes esquecidos são o maior risco. Aquele teste que alguém fez há seis meses e ninguém desligou. A integração que o estagiário configurou e saiu da empresa. Se não há responsável definido, o agente precisa ser desativado ou revisado imediatamente.

Passo 2: Aplique o princípio do menor privilégio

Cada agente deve ter acesso apenas ao necessário para executar sua função. Um agente que responde dúvidas de clientes no WhatsApp não precisa de permissão para excluir contatos do CRM. Um agente que gera relatórios não precisa de acesso de escrita ao ERP.

Evite contas de serviço com privilégios de administrador. É tentador dar acesso total para "não ter problema depois". O problema depois é justamente esse. Revise permissões periodicamente e remova acessos não utilizados. O que não é usado deve ser revogado.

Passo 3: Exija aprovação humana para ações críticas

Identifique as operações de alto impacto na sua operação: exclusão de dados, transferências financeiras, alterações cadastrais relevantes, envio de comunicações em massa, mudanças de status de pedidos. Para cada uma, implemente um fluxo de aprovação manual antes da execução.

Aqui vale uma distinção prática: agente supervisor e agente executor. O executor faz. O supervisor valida. No caso da invasão em 20 minutos, os criminosos usaram exatamente essa arquitetura, mas sem nenhuma barreira humana. Na sua empresa, o supervisor pode ser um humano com poder de veto ou um segundo agente com regras rígidas de validação. O importante é que nem toda ação aconteça sem alguém olhar.

Passo 4: Implemente trilhas de auditoria completas

Registre todas as ações dos agentes: prompts enviados, decisões tomadas, resultados obtidos. Armazene os logs em sistema seguro e, se possível, imutável, com retenção adequada ao seu setor. Sem trilha de auditoria, você não consegue responder a três perguntas básicas: o que aconteceu, quando aconteceu e quem autorizou.

Monitore anomalias em tempo real. Um agente que começa a consultar dados fora do horário comercial, que tenta acessar sistemas que não deveria ou que dispara volume incomum de mensagens precisa gerar alerta. Não basta registrar. É preciso olhar.

Passo 5: Defina limites de autonomia e fallback seguro

Estabeleça claramente o que cada agente pode fazer sem supervisão. Ações de leitura podem ser automáticas. Ações de escrita exigem aprovação. Ações destrutivas exigem aprovação de nível superior. Escreva isso em documento e configure tecnicamente para que seja respeitado.

Sobre fallback para modelos alternativos: o relatório mostra que os criminosos configuraram acessos ao ChatGPT, DeepSeek e Llama 3 para evitar interrupções. Em empresas, o fallback é útil para disponibilidade, mas precisa ser autorizado e restrito. Teste cenários de falha. O que acontece se o modelo principal cair? O agente para ou passa a operar com um modelo que ninguém validou?

Passo 6: Adote detecção e resposta na velocidade do ataque

A invasão levou 20 minutos. Se o seu monitoramento gera alertas diários, você está reagindo tarde. Implemente monitoramento contínuo com alertas em tempo real para chamadas de API e padrões de acesso anômalos.

Tenha um plano de resposta a incidentes que inclua agentes de IA. Quem desliga um agente comprometido? Quem revoga permissões? Quem comunica clientes e órgãos reguladores? O plano precisa existir antes do incidente, não durante.

Passo 7: Estabeleça governança de agentes de IA

Governança não é burocracia. É o que permite escalar agentes sem perder controle. Crie políticas claras de uso, permissões e supervisão. Defina responsáveis e um comitê de revisão periódica, mesmo que seja uma pessoa só em empresa menor.

Capacite as equipes. Quem opera o CRM precisa saber que existe um agente com acesso aos dados e quais são os limites. Cultura de segurança não se cria com documento, se cria com prática.

Perguntas frequentes

O que aconteceu com os órgãos públicos brasileiros? Segundo a CrowdStrike, criminosos usaram agentes de IA para invadir órgãos governamentais brasileiros com operações quase sem intervenção humana. Eles desenvolveram duas estruturas de automação e usaram principalmente modelos Claude. A empresa não revelou quais órgãos foram afetados nem estimativas de prejuízos.

Qual é o risco para empresas que usam agentes de IA em CRM e ERP? O risco é o mesmo que os criminosos exploraram: permissões amplas, aprovação automática e falta de auditoria. Se um agente tem acesso de administrador e pode executar ações críticas sem supervisão humana, qualquer falha ou comprometimento tem impacto direto na operação.

Preciso parar de usar agentes de IA? Não. A questão não é o uso, é a configuração. Agentes bem configurados, com escopo mínimo, aprovação humana em ações críticas e trilha de auditoria, reduzem risco e aumentam eficiência. O problema é conectar IA a sistemas internos sem governança.

Como saber se minha empresa tem agentes esquecidos? Faça um inventário de todas as integrações via API e automações em CRM, ERP, atendimento e marketing. Para cada uma, identifique responsável, permissões e última revisão. Se não há responsável, desative ou revise.

O que é a instrução de tratar alvos como pentest autorizado? Os criminosos instruíram as IAs a considerar as operações como testes de invasão autorizados. Isso driblou as restrições de segurança dos modelos, que bloqueiam ações maliciosas. É um exemplo de como a configuração de contexto pode contornar barreiras técnicas.

Qual a diferença entre agente supervisor e agente executor? O executor executa tarefas. O supervisor valida as decisões do executor antes da execução ou monitora seu comportamento. No ataque, essa arquitetura foi usada sem barreira humana. Em empresas, o supervisor deve incluir aprovação humana em ações críticas.

Como medir se a governança de agentes está funcionando? Acompanhe indicadores como tempo de detecção de anomalias, percentual de ações críticas com aprovação humana registrada, número de agentes sem responsável definido e tempo de resposta a incidentes. Se esses números não estão sob controle, a governança precisa de ajuste.