Protegendo agentes de IA contra prompt injection via privilégio mínimo e mapeamento source-and-sink

A injeção de prompt deixou de ser um risco teórico: é uma ameaça operacional com CVSS acima de 9,6 em sistemas reais da Microsoft, GitHub e Cursor IDE, e já foi usada em cadeias de suprimentos como o Cline/OpenClaw em fevereiro de 2026. O problema não está no modelo, está na arquitetura de execução. LLMs não distinguem instruções de desenvolvedores de conteúdo externo quando ambos estão na mesma janela de contexto, tornando defesas puramente baseadas em prompt engineering ineficazes. A única estratégia viável é defesa em profundidade, com privilégio mínimo como pilar central: cada agente precisa de identidade própria, credenciais rotativas com escopo estrito e acesso granular a ferramentas, não como um recurso adicional, mas como requisito de governança de infraestrutura.

O mapeamento source-and-sink, introduzido pela Corgea em junho de 2025, é hoje a única técnica capaz de rastrear dados não confiáveis do ponto de entrada (ex.: um comentário malicioso em um repositório) até o sumidouro crítico (ex.: execução de código Python por um assistente IDE), algo que análise estática tradicional ignora. Isso exige integração entre segurança de aplicação e arquitetura de IA, não basta proteger o modelo, é preciso proteger o fluxo de dados entre ele, as APIs, a memória persistente e o filesystem.

Agentes de IA com acesso a navegadores e filesystems não são apenas aplicações: são novos vetores de ataque com perfil de usuário privilegiado. Um único agente comprometido pode exfiltrar dados sensíveis, deletar arquivos ou injetar código em pipelines CI/CD, sem precisar de vulnerabilidades no sistema operacional. Isso muda radicalmente os critérios de compliance: auditorias de segurança agora exigem mapeamento explícito de permissões por agente, políticas de expiração de memória e registros de todas as operações de leitura/gravação em memória persistente. Empresas que adotam IA operacional sem essas camadas estão assumindo riscos equivalentes a rodar servidores com root sem firewall.