Quando os agentes entram em cena, seu modelo de segurança sai pela porta

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

A maioria das ferramentas atuais de segurança empresarial se baseia em um conjunto muito específico de premissas. Isso não é algo ruim, pois essas premissas foram testadas e validadas inúmeras vezes nos últimos vinte anos. Entre as principais está a ideia de que o software faz o que lhe é ordenado, os usuários podem ser perfilados e os sistemas se comportam de maneira previsível sob condições conhecidas. Isso funcionava quando o objetivo era proteger APIs, servidores web ou pessoas com maus hábitos de segurança de senhas.

Mas tudo isso deixa de funcionar quando entram em cena os agentes autônomos.

Os agentes nem sempre seguem scripts. Eles nem sempre operam em caminhos definidos estaticamente. Eles raciocinam, planejam, adaptam-se e, se você não estiver atento, podem se comportar mal. Isso significa que sua estratégia clássica de defesa acaba de se revelar otimista demais.

Felizmente, os pesquisadores de segurança estão começando a lidar com essa realidade. Um dos sinais mais concretos disso veio na forma de um artigo: “Protegendo a IA agêntica: modelagem de ameaças para agentes de LLM”. Ele não se limita a apresentar uma série de novos cenários assustadores; na verdade, propõe uma nova estrutura operacional, criada para o mundo agêntico no qual estamos mergulhando de cabeça.

SHIELD: um framework criado para os agentes, não para as APIs

Os autores apresentam o SHIELD, uma abordagem em camadas para gerenciar agentes autônomos em ambientes reais. Não se trata apenas de uma lista de vetores de ataque, mas de um modelo de governança. O SHIELD inclui:

• Isolamento em sandbox: Defina exatamente o que um agente pode acessar (ferramentas, arquivos, APIs) antes de agir. Use alguma forma de controle de acesso rigoroso. A premissa central aqui é sólida, e já existem muitas iniciativas para controlar o uso de ferramentas por IAs em geral.
• Humano no circuito: Insira pontos de verificação ou caminhos de escalonamento antes que ações irreversíveis ocorram. Isso parece bastante óbvio, pois é parte integrante da maioria das iniciativas de automação.
• Restrições de interface: Regras rígidas de entrada e saída para a interação do agente com o sistema. Parece sanitização de entradas e verificação de respostas. Hum.
• Rastreamento da execução: Monitore as chamadas de ferramentas, as alterações no estado da memória e os ciclos de planejamento. Observabilidade. Observabilidade. Observabilidade.
• Registro de logs: Capture as etapas de raciocínio e o uso de ferramentas, não apenas os resultados. Este item é necessário para formar uma sigla interessante, mas, na verdade, está relacionado ao rastreamento mencionado acima e faz parte de uma estratégia abrangente de observabilidade.
• Reprodução determinística: Reconstrua sessões de inferência para auditar por que algo aconteceu, e não apenas o que aconteceu. Acho extremamente difícil acreditar que isso seja possível, já que recriar o “estado” de um agente — na verdade, de qualquer IA — é praticamente impossível. Mas, se der para fazer, seria muito legal.

Ainda estamos nos estágios iniciais, mas a principal conclusão do SHIELD é crucial: a IA agêntica exige novos pontos de controle, novas premissas e novos modelos mentais. Talvez tenhamos mencionado isso recentemente, como neste white paper. Mas, por enquanto, vamos apenas resumir o que isso realmente significa para líderes e engenheiros de segurança.

As cinco mudanças que a segurança deve fazer para a IA agêntica

1. De modelos estáticos de ameaças ao monitoramento dinâmico de comportamento
Os modelos tradicionais de ameaças pressupõem que os invasores sigam padrões conhecidos, como movimentação lateral, escalonamento de privilégios e entrega de payloads. Mas os agentes não seguem nenhum padrão conhecido. Eles podem improvisar.

As equipes de segurança precisam começar a monitorar comportamentos emergentes. Isso significa criar telemetria para acompanhar o que os agentes fazem, como pensam e quando se desviam dos caminhos previstos. Semântica. Observabilidade. Não é preciso dizer mais nada.

2. De controles de perímetro à aplicação de políticas em tempo de execução
Firewalls e proteções no nível do gateway não ajudam quando o agente de LLM já está dentro usando ferramentas, acessando arquivos ou enviando solicitações de API de forma autônoma.

A segurança precisa se aproximar do ambiente de execução, impondo permissões específicas para cada tarefa, isolamento de ambiente e validação de intenção em tempo real. Pense nisso como política como inferência: o que um agente tem permissão para fazer deve ser verificado no momento em que ele decide fazê-lo. Isso representa a convergência dos planos de dados e de controle, e a segurança precisa fazer parte desse processo.

3. Do registro de eventos à captura de contexto
Não é possível proteger aquilo que não se compreende e, quando se trata de agentes, a compreensão exige mais do que logs. É preciso registrar e permitir o rastreamento de cadeias de prompts, metadados de chamadas de ferramentas, snapshots de memória e contexto de execução. O contexto é o novo perímetro.

Por que o agente agendou cinco reuniões e enviou um e-mail para um fornecedor às 2h da manhã? Você só saberá se conseguir reproduzir a árvore de decisões dele. Isso não é observabilidade. É análise forense de agentes.

4. De revisões de código a testes comportamentais
A lógica de um agente não está no código, mas sim na combinação de pesos, prompts, ferramentas e contexto. Isso torna a revisão estática inútil.

O que precisamos é de um controle de qualidade comportamental em um ambiente isolado: simular casos extremos, entradas adversariais e limites de permissão. Trate os agentes como engenheiros juniores em treinamento, não como módulos de código determinísticos.

O red teaming precisa evoluir de “invadir o sistema” para “manipular o agente” — repetidamente e com um olhar atento para falhas em cascata.

5. Da identidade do usuário à identidade e ao escopo do agente
Hoje, o controle de acesso é predominantemente centrado no usuário: quem é você e quais funções você desempenha? Isso não funcionará para agentes. Agora, é preciso atribuir identidade, escopo de privilégios e limites de tarefas aos agentes de IA, além de definir expiração automática (como TTL), isolamento da memória compartilhada e trilhas de auditoria persistentes.

Em resumo: a confiança zero agora se aplica a agentes não humanos. E essa confiança precisa ser conquistada sempre que eles acionam uma ferramenta ou acessam um recurso.

A segurança precisa se adaptar

A IA agêntica não é apenas uma novidade, mas uma mudança em nível sistêmico. Quando os modelos ganham autonomia, seu sistema ganha entropia, e suas antigas premissas se tornam vulnerabilidades.

O que o SHIELD acerta não é apenas sua lista de controles. É a sua filosofia, que inclui duas premissas fundamentais:

• Presuma que os agentes sairão do roteiro, seja por sua própria natureza ou por manipulação
• Presuma que erros de raciocínio podem causar efeitos colaterais em todo o sistema

As equipes de segurança que adotarem essas medidas agora criarão mecanismos de proteção escaláveis. E as que não adotarem? Serão elas que terão de lidar com as consequências depois que os agentes estavam “apenas tentando ajudar”.

Portanto, não: seus frameworks atuais não são suficientes. Os agentes entraram em cena. É hora de recebê-los com uma governança que realmente entenda o que eles são.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie