A Redbelt Security publicou um relatório que chama a atenção para um equívoco recorrente nas estratégias de segurança envolvendo inteligência artificial: tratar o modelo de linguagem como o principal elemento de risco. Segundo a consultoria, essa abordagem ignora o componente que realmente executa ações nos sistemas e pode levar empresas a concentrar esforços de proteção no lugar errado.
De acordo com o estudo, o modelo de linguagem apenas interpreta solicitações e gera instruções em texto. Quem transforma essas instruções em ações concretas — como acessar arquivos, utilizar a rede ou executar comandos — é o harness, programa que envolve o modelo e faz a interface com o ambiente computacional. Para a empresa, esse componente representa o principal ponto de controle para reduzir riscos em aplicações de IA agêntica.
O relatório destaca que um mesmo modelo pode apresentar níveis de risco bastante diferentes dependendo do ambiente em que é executado. Enquanto algumas implementações oferecem acesso direto à máquina do usuário, suas credenciais e recursos de rede, outras funcionam em ambientes isolados e com permissões restritas. Já em aplicações que utilizam apenas interfaces de conversa, sem capacidade de executar ações externas, a superfície de ataque é significativamente menor.
A consultoria também aponta que a evolução dos agentes de IA amplia o desafio da segurança. Como exemplo, o documento cita um sistema multiagente apresentado pela Anthropic em 2025, no qual diversos agentes trabalharam de forma coordenada para desenvolver um compilador da linguagem C com cerca de 100 mil linhas de código, demonstrando o potencial dessas arquiteturas para executar tarefas complexas em larga escala.
“Todo sistema é uma máquina com Entrada, Processamento e Saída. Se você controla o que entra e revisa o que sai, você controla a máquina. O erro que as empresas cometem é tratar o agente como um gênio da lâmpada: é só pedir e torcer. O jeito certo é desenhar um workflow com passos modulares, travas explícitas, entrada sanitizada em cada fronteira de confiança, saída revisada e menor privilégio”, afirma Wagner Farias, head de Engenharia de Ameaças da Redbelt Security.
Entre as medidas recomendadas está a adoção de hooks, pequenos programas executados automaticamente pelo harness em etapas específicas do ciclo de funcionamento do agente. Segundo a empresa, esses mecanismos permitem validar comandos antes da execução e inspecionar os resultados antes que sejam devolvidos ao modelo, oferecendo controles determinísticos que reduzem a exposição a ataques.
“Os hooks não tornam o ataque impossível, mas nos possibilita tomarmos cuidados em pontos de checagem afim de termos certas garantias. É precisamente a mudança que a segurança exige: sair do talvez para o sempre”, ressalta Farias.
O estudo também alerta para os riscos associados à instalação de plugins e skills de terceiros. Como essas extensões ampliam as capacidades dos agentes de IA, elas devem ser avaliadas com o mesmo rigor aplicado à instalação de qualquer software corporativo. A recomendação é verificar a existência de instruções ocultas, rotinas para download e execução de código e comunicações com domínios externos que não sejam essenciais para o funcionamento da ferramenta.
Por fim, o relatório destaca que a injeção de prompts continua sendo um dos principais vetores de ataque contra agentes de IA e ainda não possui uma solução definitiva. Enquanto isso, a Redbelt Security recomenda uma abordagem baseada em múltiplas camadas de proteção, combinando hooks, controle de acesso, listas de permissão para conexões de rede, princípio do menor privilégio e fluxos de trabalho com fronteiras de confiança claramente definidas. Segundo Wagner Farias, a responsabilidade pela proteção dos dados permanece com as organizações, e não com as ferramentas de inteligência artificial.
