Agentes de IA estão escapando. O que acontece a seguir?
Ao longo do último mês, três dos principais desenvolvedores de IA de ponta do mundo confirmaram que seus próprios agentes de IA acessaram sistemas aos quais nunca deveriam ter acesso. O que a princípio parecia ser uma fuga isolada de IA agora se revela um padrão:
- O teste da OpenAI escapou para o mundo real. Um agente de IA escapou de um teste de cibersegurança, acessou a internet e comprometeu os dados da Hugging Face e de um cliente da Modal Labs. O agente invadiu a infraestrutura durante dias antes que a OpenAI entendesse o que havia acontecido.
- Após analisar seus próprios testes, a Anthropic encontrou seus próprios incidentes. Uma análise de mais de 141.000 testes revelou três casos em que os modelos Claude violaram a segurança de outras organizações. Diferentemente do agente da OpenAI, esses modelos não precisaram se desvencilhar da lógica. A configuração inicial havia fornecido acesso à internet por engano.
- A Meta tornou-se a terceira desenvolvedora de IA ligada a um ataque envolvendo um agente de IA. Durante um teste de segurança, uma configuração incorreta permitiu que um dos modelos tivesse acesso à internet. O modelo utilizou esse acesso para encontrar e explorar uma vulnerabilidade em um serviço de terceiros.
- Os testes do AI Security Institute (AISI) descobriram que os agentes iam além da exploração de vulnerabilidades, usando engano e manipulação humana. Testes da AISI com o Mythos 5 da Anthropic e o GPT-5.6-Sol da OpenAI. Descobrimos que o grupo criava identidades online falsas, usava engenharia social e tentava persuadir as pessoas a aprovar códigos maliciosos. Os testes demonstraram que agentes autônomos conseguiam combinar ataques técnicos com artifícios de engano enquanto buscavam seu objetivo.
Os incidentes não ocorreram todos sob as mesmas condições. Alguns agentes escaparam de seus ambientes de teste, enquanto outros tiveram acesso à internet por engano ou por testes deliberadamente permissivos. Mas ambos apontam para o mesmo risco: uma vez que um agente consegue acessar sistemas externos, ele pode explorar softwares, enganar pessoas e seguir caminhos não previstos. As equipes de segurança precisam identificar para onde
cargas de trabalho de IA podem
direcionadas e limitá-las apenas às conexões necessárias.Que ataques de agentes de IA ainda não foram detectados?
A professora Dawn Song, da UC Berkeley, que ajudou a criar o benchmark ExploitGym usado em alguns testes, alertou que "provavelmente houve mais casos". Mas a questão não é tanto sobre fugas que chamam a atenção da mídia, e sim sobre se as equipes conseguem ver e controlar para onde os agentes autônomos de IA vão e o que eles podem fazer.
A IA está se tornando uma poderosa ameaça interna.
A engenheira de segurança da IBM, Kimmie Farrington, descreve o risco da seguinte forma: a IA pode ser "a pessoa mais útil que temos dentro da empresa" — e também "a mais perigosa".
A comparação se mantém devido ao acesso, não à intenção. Um agente não precisa se tornar malicioso para causar danos. Ela só precisa das permissões que alguém lhe concedeu, deliberadamente ou por engano, e de sua própria interpretação do objetivo que lhe foi atribuído. Essa combinação é o que torna a próxima questão urgente: uma vez que um agente tenha acesso, até onde ele pode ir?
Quando os agentes de IA escapam, o movimento lateral representa um risco.
As manchetes se concentraram no momento em que um agente de IA cruzou uma fronteira. Para os defensores, esse momento importa muito menos do que o que vem a seguir: o quanto do ambiente o agente conseguiu tocar depois de passar.
Nos casos relatados, a resposta foi uma conexão de internet aberta, um serviço de terceiros e um aplicativo vulnerável. Em um ambiente de produção, esses mesmos caminhos desnecessários poderiam levar a sistemas de identidade, bancos de dados e dados de clientes.
“O acesso inicial por si só não cria um desastre”, disse Rajoo Nagar, gerente sênior de marketing de produto da Illumio. “É realmente o movimento lateral que faz isso.”
A livre circulação lateral assemelha-se bastante aos recentes incidentes envolvendo inteligência artificial: um ambiente de testes tornou-se uma rota de acesso à internet. Um serviço externo tornou-se mais um passo no caminho do ataque. As credenciais e os serviços prestados abriram mais portas.
“Cada conexão desnecessária na empresa cria outro caminho que eles podem explorar”, disse Nagar.
Um atacante humano precisa procurar por esses caminhos. Um agente autônomo pode enumerá-los em minutos, o que deixa aos defensores muito menos tempo para perceberem que algo está se movendo onde não deveria.
A visibilidade é a primeira linha de defesa.
Comece com uma visão clara de como suas cargas de trabalho de IA se comunicam entre os ambientes de desenvolvimento, teste, nuvem, terceiros e produção. Duas coisas importam mais do que tudo: conexões que ninguém se lembra de ter criado e tráfego que não corresponde à arquitetura que você projetou. Ambos são comuns em ambientes de teste e ambos são fáceis de passar despercebidos sem um mapa.
O objetivo é comparar o tráfego pretendido com o tráfego real:
- Quais aplicações dependem de quais serviços?
- Quais sistemas estão se comunicando quando não deveriam?
- Para onde um agente poderia se deslocar se um dos controles falhasse?
Nagar enfatizou que a compreensão desses padrões reais de comunicação ajuda as equipes a encontrar brechas de segurança antes que elas se tornem caminhos de ataque.
Observe também as rotas de movimento lateral que já são familiares. Protocolos de acesso remoto e compartilhamento de arquivos — como o Protocolo de Área de Trabalho Remota (RDP), o Bloco de Mensagens do Servidor (SMB), o Shell Seguro (SSH), o Protocolo de Transferência de Arquivos (FTP) e o Telnet — juntamente com ferramentas como o TeamViewer, são a forma como os invasores se movem de um sistema para outro há muito tempo. Um agente com acesso à rede pode usar exatamente as mesmas rotas.
A segmentação impede movimentos laterais indesejados.
A visibilidade mostra os caminhos. A segmentação decide quais permanecerão abertos. A regra é simples: forneça à IA apenas as conexões necessárias para realizar sua tarefa e feche as demais por padrão. Na prática, a maioria dos ambientes de teste e pipelines de construção possuem muito mais caminhos abertos do que o trabalho realmente exige.
Os incidentes recentes tornam a separação entre desenvolvimento, testes e produção especialmente importante. Nagar alertou que mesmo conexões legítimas entre ambientes de teste de baixa confiança e produção podem se tornar caminhos de ataque quando não são restritas ou são mal monitoradas. Restringir essas rotas ajuda a evitar que uma carga de trabalho que escape se torne um caminho para dados sensíveis ou sistemas críticos.
O mesmo princípio se aplica a aplicações críticas. Em vez de tentar isolar tudo de uma vez, as equipes podem criar barreiras individuais para sistemas de identidade, bancos de dados, aplicativos de produção e outros ativos críticos. Permita as conexões necessárias para o funcionamento e restrinja as demais.
Decida antecipadamente como você reagirá quando um agente for transferido para um local onde não deveria estar. Se sua equipe consegue isolar a carga de trabalho em minutos em vez de horas, você está investigando um incidente contido em vez de perseguindo um que se espalha por todo o ambiente.
Prepare-se para o comportamento da IA que você não pode prever.
Não é possível prever todas as decisões que um sistema autônomo tomará. Mas você pode decidir até onde isso vai chegar. Mapeie como suas cargas de trabalho de IA se comunicam hoje, feche as conexões desnecessárias e mantenha os ambientes de teste separados da produção. Fazendo isso, uma ação inesperada permanece um evento contido, em vez de um caminho aberto em seu ambiente.
Assista ao webinar sob demanda “Pós-Mito: Planeje para a Invasão Inevitável” para uma discussão mais aprofundada sobre como as organizações podem se preparar para ataques mais rápidos e menos previsíveis, limitando a exposição e restringindo os caminhos que os invasores podem usar.
