Agentes pessoais de consumidores já estão conectados a suítes SaaS corporativas sem o conhecimento da TI

A pesquisa é da Reco, fornecedora de segurança SaaS, e parte da telemetria do seu mecanismo de descoberta de agentes. Segundo a empresa, agentes pessoais de consumidores apareceram conectados a tenants corporativos de Google Workspace, plataformas de negócio e workspaces de mensagens. Quem autorizou foram executivos de nível C, que na maioria dos casos concederam delegação OAuth completa de leitura e escrita sobre e-mail, agenda e armazenamento em nuvem. As conexões cresceram entre o fim de agosto e meados de setembro de 2026, acompanhando a cobertura de mídia e a valorização desses assistentes.

Os números citados são concretos. O app Grok gerou cerca de 1.700 ações no Google Drive em seis semanas, incluindo edições, uploads, renomeações e dois arquivos enviados à lixeira. Cerca de 200 leituras não autorizadas vieram de usuários externos ao dono dos arquivos, que estavam compartilhados externamente ou com link aberto. Isso passou por cima de bloqueios internos, porque o controle de aplicativos para na fronteira do tenant. Cerca de 40 funcionários de doze organizações conectaram o Muse, da Meta, e as concessões amplas seguem ativas mesmo sem operações de arquivo no período. O Grok Bot criou apps de Slack por usuário a partir de uma integração já aprovada, e a Reco detectou ao menos um arquivo sensível exfiltrado.

A fonte explica por que a defesa tradicional não enxerga o problema. A conexão é nuvem a nuvem, sem EDR, MDM, CASB ou firewall no caminho. O consentimento OAuth muitas vezes parte do IP do servidor do fornecedor, e não da estação do usuário, o que faz as checagens de acesso condicional passarem. Inventários por nome de app também erram: subcontam o Muse (consentimentos separados por serviço) e superdimensionam o Grok (cerca de 500 usuários só com login SSO contra cerca de 50 com acesso a dados). As recomendações incluem restringir o consentimento OAuth no Google Workspace, no Microsoft Entra ID e no Slack, limpar links públicos, separar autenticação de autorização de dados e revogar acessos dormentes. A fonte lembra que revogar o token não apaga dados já ingeridos pelo fornecedor.

O tema acompanha uma linha que o CEVIU já vinha cobrindo. Em 5 de março de 2026, o CEVIU noticiou "MCPs e agentes de IA: a nova ameaça à governança de identidade corporativa", sobre entidades não humanas com privilégios excessivos. Em 22 de abril de 2026, veio "Identidades Não-Humanas Tornam-se o Real Problema de Segurança da IA", com foco em tokens OAuth e chaves de API. Em 4 de junho de 2026, "Agentes de IA se tornam novo vetor de ameaças internas nas organizações". E em 28 de setembro de 2026, "Agentes de IA Revelam Brecha de Segurança Crítica em Sistemas Corporativos", sobre permissões de aplicativos insuficientes para agentes autônomos.

A diferença agora é a origem do risco. Aquela cobertura tratava de agentes que a empresa integra ou adota. A pesquisa atual aponta agentes de consumo que entram por decisão individual de executivos, com telemetria de campo em ambientes de produção.

Para quem opera TI corporativa, a leitura é que o consentimento OAuth virou o ponto de entrada de terceiros não avaliados, e que ele não passa por nenhuma camada de rede ou endpoint. Isso empurra a decisão para configuração de tenant: desligar consentimento de usuário final, usar allowlist de apps e monitorar escalonamento de escopo. Há também um ângulo de compliance, já que a fonte aponta que esses agentes não têm DPA, trilha de auditoria nem RBAC corporativos. Vale lembrar que a análise vem de um fornecedor que vende a solução, então os números merecem validação no seu próprio ambiente.