Estamos Construindo Máquinas de Vazamento de Dados e Ninguém se Importa

Agentes de IA não são apenas ferramentas que geram código ou respondem perguntas: são entidades com permissões reais, acesso a APIs, credenciais válidas e capacidade de acionar sistemas críticos, e isso os transforma em vetores ativos de vazamento. Diferente de modelos estáticos, agentes operam em ciclos de planejamento, execução e iteração, muitas vezes sem auditoria em tempo real. O não-determinismo não é um detalhe técnico: é uma falha estrutural de segurança, pois o mesmo prompt pode gerar respostas diferentes em instâncias distintas, e cada variação pode expor dados sensíveis, injetar lógica maliciosa ou contornar validações. Estudos da Stanford (ACM CCS) e da Sonar mostram que desenvolvedores não só produzem menos código seguro com IA, mas também subestimam sistematicamente os riscos, 96% desconfiam do output, mas só 48% revisam sempre. Isso cria um paradoxo operacional: confiança técnica sem controle técnico.

O problema se agrava na camada de integração. Em ambientes corporativos, agentes frequentemente herdam permissões de serviços legados, como conexões diretas a bancos de dados ou pipelines de CI/CD. A falha no Moltbook em 2026, que expôs credenciais de 1 milhão de usuários e 6 mil operadores de agentes, não foi causada por um modelo 'descontrolado', mas por uma má configuração de escopo de token combinada com injeção de prompt bem-sucedida. Ou seja: o risco não está só no algoritmo, mas na forma como ele é encaixado no stack existente, muitas vezes sem testes de penetração específicos para agentes.

Isso importa porque o ciclo de exploração de vulnerabilidades já mudou: a Verizon aponta que ataques assistidos por IA superaram o roubo de credenciais como principal vetor em 2026, com tempo médio de exploração reduzido de meses para horas. Para desenvolvedores, significa que boas práticas de segurança, como least privilege, sandboxing de execução, validação de saída e monitoramento de comportamento anômalo, deixaram de ser opcionais e viraram requisitos de arquitetura. Não basta testar o código gerado; é preciso testar *como o agente toma decisões*, *quais dados ele carrega entre etapas* e *como ele reage a entradas manipuladas*. Ignorar isso não é negligência pontual, é construir intencionalmente sistemas com superfície de ataque expandida e sem mecanismos de contenção.