Relatório de segurança dos agentes IA: 1.280 produtos, 282 com SSO; maioria sem controlo de identidade

Um novo relatório sobre a segurança dos agentes da IA apresenta uma imagem preocupante, mas concreta: nos ambientes analisados para o 2026 State of Agent Security Report Há cerca de 1.280 produtos de terceiros que já incorporam capacidades de IA; desses, apenas 282 passam pelo circuito de início de sessão único (SSO) e o resto — quase mil — permanece fora do alcance direto da infraestrutura de identidade por defeito. Em termos simples: a maioria dos "agentes" não chegam através de um processo de adoção controlado, mas aparecem dentro de aplicações existentes e atualizações de produto ou funções herdadas, e portanto escapam às ferramentas tradicionais de governança.

Isto não é um problema de modelos - o relatório insiste nisso - mas sim de ecossistema. Um agente, explicado em suas partes fundamentais, combina um modelo para raciocinar com uma "andamiaje" que o torna ator: quais sistemas podem consultar, quais APIs podem invocar, que credenciais usa e quando atua automaticamente. Segundo o documento, quase todo o risco prático reside nesse andaime e nas conexões que o agente herda, não na qualidade do modelo base.

A consequência imediata é uma brecha na lógica dominante de segurança: as ferramentas e processos que avaliavam IA assumem um momento de decisão - uma compra, uma integração, uma porta de entrada - que concede um ponto de instrumentação e um responsável. Os agentes herdados não atravessam esse ponto. instalam-se dentro de plataformas que a empresa já usa e, em muitos casos, funcionam com permissões que provêm da configuração da aplicação anfitriã ou de tokens armazenados no ambiente, não da identidade corporativa gerida por TI.

Quem afeta isto? A qualquer organização que use aplicações de terceiros em grande escala: CRM, plataformas de chat, suites de produtividade, ambientes de nuvem e catálogos de aplicações. O relatório menciona que agentes nascidos em um CRM podem acabar lendo um data warehouse e criando tickets em sistemas de gestão, e que agentes implantados na nuvem acabam alojando tokens com acesso a várias aplicações. Em termos regulatórios, a incapacidade de enumerar e atribuir sistemas de IA também afeta o cumprimento: obrigações como as estipuladas pelo EU AI Act pressupõem que uma organização pode inventariar seus sistemas de IA e demonstrar supervisão.

O relatório refere ainda declarações de líderes da indústria que aumentam o risco para a categoria sistémica: citam executivos que tentaram a cadeia de fornecimento de software como um vetor crítico e que agora aplicam o mesmo olhar para os agentes. Se atores de grande dimensão exigem controle sobre agentes em seus processos de compra e avaliação, isso transformará questionários e contratos em indicadores de risco exigíveis para fornecedores.

O que está confirmado e o que é estimativa: os números do relatório (1.280 produtos com IA, 282 por trás da SSO) são a base factual relatada pelos autores; a caracterização técnica do problema — a abordagem em andaiagem e conectividade frente ao modelo — se desdobra como análise do mesmo relatório. As projeções sobre crescimento exponencial de agentes herdados e a ideia de que as práticas atuais colapsam ao escalar são inferências fundamentadas pelos autores e por especialistas do setor; constituem estimativas baseadas em tendências observáveis, não certezas imutávels. O que ainda é incerto é a rapidez com que fornecedores e reguladores irão implementar contramedidas eficazes e como a regulamentação específica evoluirá em diferentes mercados fora da UE.

Do ponto de vista técnico, a peça crítica é a "alcanzabilidade" (reach): um agente pode agir diretamente sobre sistemas se tem credenciais, conectores ou permissões herdados. As ferramentas clássicas —escneres de modelos, filtros de prompts, revisões pontuais — avaliam componentes isolados; não midem cadeias de impacto que atravessam identidades humanas e não humanas, aplicações e permissões encadeados. Este é o calcanhar de Aquiles identificado: a superfície que importa não é a configuração percebida hoje, mas o que um agente pode alcançar amanhã.

Riscos específicos que resultam desta arquitetura: exfiltração de dados através de agentes com permissões herdados, movimentos laterais fornecidos por credenciais usadas por agentes, automação mal configurada que modifica ambientes de produção, erosão de auditoria e governança quando as ações do agente ficam associadas à aplicação anfitriã em vez de um ator identificável. A nível operacional, a gestão manual com folhas de cálculo e revisões trimestrais torna-se inviável quando o número de agentes se conta por centenas ou milhares.

O que fazer já, passo a passo? Primeiro, detectar: implemente um inventário contínuo de agentes e suas permissões em tempo real, não revisões pontuais. Ferramentas que correlacionam identidades, aplicações e ações - o relatório cita soluções desenhadas para mapear esse "graph" de relações - são a peça inicial para converter alcance em unidade de análise. Segundo, identidade e princípio de menor privilégio: exija que qualquer agente tenha uma identidade separada, provisionada por TI, e que receba por defeito sem permissões; a elevação deve ser explícita e auditada. Terceiro, controles de runtime: restringa e registra todos os conectores que permitem a um agente alcançar sistemas sensíveis, obrigando a aprovações de negócio e revisões de segurança para cada novo conector. Quarto, gestão de segredos e rotatividade: assegure tokens e credenciais usadas por plataformas e agentes em vaults corporativos com rotação automática e políticas de scope restrita. Quinto, telemetria e resposta: centralize registros de ações de agentes em seu SIEM/EDR e defina alertas por padrões de acesso incomuns ou por cadeias de chamadas entre serviços.

No plano contratual e de fornecedor, exija visibilidade: cláusulas que obriguem fornecedores a documentar agentes incluídos em atualizações e a fornecer mecanismos para desativar funções de agente a nível de cliente. Não confie em questionários tradicionais: peça evidências de inventário e testes de que os agentes podem ser provisionados com identidades neutralizadas até a autorização.

Para equipes que planifiquem o investimento, priorizem capacidades de descoberta contínua e automação de políticas de identidade sobre digitalização estática de modelos. A curto prazo, atenuações operacionais (revocar tokens não auditados, limitar conectores, habilitar logging) reduzem o risco imediato. A médio prazo, implemente fluxos de aprovação e gateo de conectores do fornecedor e trabalhe com legal/compliance para atualizar contratos. A longo prazo, promova arquiteturas que coloquem o runtime controlado pela organização em serviços críticos e pressionem fornecedores para que suas funções de agente respeitem modelos de identidade delegada e auditabilidade.

A agenda regulamentar e de boas práticas já está em curso: a exigência de inventário e supervisão que propõe a EU AI Act e os quadros de confiança zero e gestão de identidade, como o NIST Zero Trust, oferecem princípios aplicáveis: visibilidade contínua, menor privilégio, segmentação e telemetria. Sem esses pilares, as organizações continuarão a ser surpreendidas por agentes que nunca passaram por um processo de adoção.

Em conclusão, o salto não é técnico, mas organizacional: a segurança deve deixar de perguntar "que modelo usamos" e começar a mapear "o que pode alcançar cada ator (humano ou não humano) no meu ambiente". Essa transição exige ferramentas distintas, políticas de identidade mais rigorosas e contratos que obriguem os fornecedores a expor e a permitir controlar os agentes que enviam nas plataformas que gerem.