Só 37% das empresas conseguem tomar de volta a chave de um agente de IA. O risco não está no modelo.

A causa não é o modelo. Na segurança, também não

Em agosto, o Vicente Conde abriu uma edição da newsletter dele com um número difícil de esquecer: US$ 4,3 milhões, que ele apresenta como o custo médio de um incidente grave causado por um agente de IA dentro de uma empresa. A tese dele é que a próxima crise de IA corporativa vai nascer das palavras, não da tecnologia. O mesmo termo definido de um jeito em cada sistema, e um agente agindo em cima disso sem ninguém para revisar.

Concordo. Só acho que, quando o assunto é segurança, dá para dar mais um passo. O problema raramente está no modelo. Está na chave que entregaram para ele.

"Agente" virou palavra guarda-chuva, então deixo claro do que estou falando. Não é o chatbot que tira dúvida no site. É um programa que recebe uma tarefa e vai lá executar: lê e-mail, consulta banco de dados, abre chamado, move arquivo, chama outro sistema. Para fazer qualquer uma dessas coisas ele precisa de credencial. E credencial, em segurança, tem outro nome. Identidade.

Cento e nove para um

A CyberArk, que hoje faz parte da Palo Alto Networks, ouviu 2.930 responsáveis por segurança para o "2026 Identity Security Landscape", divulgado em maio. O número da capa: as identidades de máquina (contas de serviço, robôs e agentes de IA, tudo junto) já são 109 para cada identidade humana. Um ano antes eram 82.

O que me incomodou de verdade veio no material sobre agentes. Dos agentes em uso, 40% já acessam dados da organização. Só 37% das empresas conseguem revogar a credencial de um agente de IA. E apenas 30% guardam registros de auditoria que ninguém consegue alterar.

Traduzindo para a linguagem de reunião: a maioria entregou a chave e não sabe como pegar de volta. Se algo der errado, sete em cada dez vão investigar sem a garantia de que o registro do que aconteceu está íntegro.

O agente que obedece ao bilhete errado

Pense num funcionário muito eficiente, com a chave mestra do prédio, que cumpre qualquer bilhete deixado na mesa dele. Se o bilhete é do chefe, ótimo. Se quem deixou foi um desconhecido que passou pelo corredor, ele cumpre do mesmo jeito.

É mais ou menos isso a injeção de prompt. O agente lê um e-mail, uma página ou um documento que traz instruções escondidas e executa aquilo como se fosse ordem legítima. A OWASP, fundação cujas listas de risco o mercado usa como referência, coloca a injeção de prompt em primeiro lugar entre os riscos de aplicações com modelos de linguagem. Em dezembro de 2025 ela lançou uma lista só para aplicações com agentes e destacou, entre os riscos centrais, o abuso de identidade e de privilégio.

A analogia falha num ponto, e o ponto pesa contra o agente: o funcionário às vezes estranha a letra do bilhete. O agente, em muitos casos, nem tem como separar o que é dado do que é ordem.

Isso já saiu do papel. Em junho de 2025 foi publicada a CVE-2025-32711, uma falha no Microsoft 365 Copilot que o banco de vulnerabilidades do NIST descreve como injeção de comandos de IA, capaz de permitir a um atacante não autorizado obter informações pela rede. A própria Microsoft deu nota 9,3 de 10.

Oito em cada dez já viram o agente fazer o que não devia

Em maio de 2025, a SailPoint e a Dimensional Research ouviram 353 profissionais de TI e segurança em cinco continentes para o estudo "AI agents: The new attack surface". Oitenta por cento disseram que seus agentes já tinham feito algo que ninguém pediu. Entre essas ações não pretendidas, 39% envolveram acesso a sistemas não autorizados e 32%, download de conteúdo sensível. E 23% contaram que os agentes foram enganados a ponto de entregar credenciais de acesso.

Política para proteger esses agentes? Só 44% tinham.

O ataque não passou pelo modelo. Passou pela porta ao lado

Se eu tivesse que escolher um único dado para levar a um CISO, ou a um CTO que acabou de aprovar um projeto de agentes, seria este. No "Cost of a Data Breach 2026", que a IBM publicou em julho com o Ponemon Institute, mais de 20% das 602 organizações estudadas relataram vazamentos que miravam modelos ou aplicações de IA. As causas mais comuns não tinham nada a ver com o modelo em si: APIs, aplicações ou plug-ins comprometidos (27%) e configuração errada de nuvem em cargas de IA (27%).

A recomendação da própria IBM, no relatório, é rodar agentes com permissões restritas e aplicadas continuamente no momento da execução, com atribuição a um humano e trilha de auditoria. Repare que é uma recomendação de identidade.

No Brasil, a edição de 2025 do mesmo estudo já mostrava o tamanho do buraco: 87% das organizações sem política de governança de IA e 61% sem controle de acesso à IA. O custo médio de um vazamento por aqui ficou em R$ 7,19 milhões.

O que o Gartner espera que aconteça

O Gartner tem duas projeções na mesma direção. São projeções, não medições, mas ajudam a ver para onde as coisas andam. Em 2024, a consultoria previu que até 2028 um quarto (25%) dos vazamentos em empresas vai ser rastreado até o abuso de agentes de IA, por gente de fora ou de dentro. Em maio de 2026 foi mais específica: até 2027, 40% das empresas vão rebaixar ou desligar agentes autônomos por falhas de governança que só apareceram depois de um incidente em produção.

Na mesma análise tem uma frase que eu gostaria de ter escrito. Segundo o Gartner, o fracasso é mais provável quando a empresa não separa o que o agente é capaz de fazer do alcance de acesso que ele recebe. É a tese deste texto, dita por um analista.

Três decisões antes de ligar o próximo agente

1. Cada agente é uma identidade, e toda identidade tem dono. Nada de agente rodando com a conta de serviço genérica do time ou, pior, com a credencial pessoal de quem o configurou. Identidade própria e um humano responsável por ela, com nome.

2. O que o agente sabe fazer não é o que ele pode acessar. O agente que resume contratos não precisa de permissão para apagar a pasta onde eles ficam. Privilégio mínimo, aplicado na hora da ação, e não só no documento de política. O caso da Replit, em julho de 2025, mostra bem isso: o agente apagou um banco de dados de produção no meio de um congelamento de código, e antes de ser um problema de IA aquilo foi um problema de permissão. Ele tinha acesso de escrita onde não devia.

3. Tem que dar para tomar a chave de volta, e ver o que foi feito com ela. Revogação rápida e log imutável parecem detalhe técnico até o dia do incidente, quando viram a diferença entre conter o estrago e investigar no escuro. Eu acrescentaria uma coisa: olhar o comportamento. Agente tem padrão de uso, do mesmo jeito que gente tem, e quando ele sai do padrão isso já é um sinal.

A pergunta para a próxima demonstração

Da próxima vez que alguém mostrar um agente resolvendo em minutos o que levava dias, seja um fornecedor ou o seu próprio time, faça uma pergunta só: se eu precisar cortar o acesso deste agente às três da manhã, quem faz isso, em quantos minutos, e onde eu vejo tudo o que ele fez antes?

Pelos números da CyberArk, só 37% das empresas têm essa resposta. O resto está torcendo para o agente nunca ler o bilhete errado.