Pesquisadores identificaram uma nova classe de risco cibernético: agentes autônomos de inteligência artificial que podem ser manipulados para se tornarem ameaças internas, atuando contra os interesses de suas próprias organizações. De acordo com estudo da Proofpoint divulgado em março, esses sistemas, capazes de navegar entre aplicações e executar tarefas em múltiplas plataformas com privilégios elevados, podem superar os humanos como fonte de vazamentos de dados. Em estudo publicado no mês passado, o pesquisador Matteo Lupinacci e mais cinco pesquisadores italianos avaliaram 18 modelos de linguagem de última geração e descobriram que 94,4% deles estão sujeitos à Injeção Direta de Prompt, enquanto 83,3% são vulneráveis a Ataques de Backdoor RAG (Retrieval-Augmented Generation). Mais grave ainda: 100% dos modelos testados podem ser comprometidos por meio de ataques de Exploração de Confiança entre Agentes (Inter-Agent Trust Exploitation), no qual um agente corrompido convence outros agentes a executarem comandos maliciosos, mesmo aqueles que resistem a ataques diretos, conforme explica outro artigo científico.
SymJack: repositório malicioso engana assistentes de código
A ampliação do risco ocorre por meio de novas falhas descobertas, incluindo uma chamada SymJack, revelada pela Adversa AI e publicada em maio. Ela afeta assistentes de codificação como Claude Code, Gemini CLI, Cursor Agent CLI, GitHub Copilot CLI, Grok Build e OpenAI Codex CLI. Segundo a análise da Adversa, o ataque utiliza um repositório preparado para enganar o agente a sobrescrever sua própria configuração através de uma cópia de arquivo aparentemente benigna, usando um symlink (atalho simbólico) que redireciona para o arquivo de configuração do agente. Na reinicialização, o código do atacante roda com privilégios totais do seu próprio usuário ilegal. Em ambientes de integração contínua (CI), que frequentemente aprovam comandos automaticamente, um único pull request malicioso pode exfiltrar todas as credenciais e chaves de acesso do usuário ou da aplicação originais.
Agentes já operam como hackers autônomos
Paralelamente, pesquisadores da Forescout, em estudo divulgado também em maio, testaram modelos de IA de última geração em tarefas ofensivas dentro do ambiente de desenvolvimento Visual Studio Code, com acesso a shell e ferramentas de análise. Diferente do ano anterior, quando 55% dos modelos falhavam em tarefas básicas de pesquisa de vulnerabilidades, todos os modelos de 2026 concluíram as tarefas de pesquisa, e metade produziu um exploit simples de forma autônoma. Dois modelos – Claude Opus 4.6 e Kimi K2.5 – completaram a tarefa de exploração mais complexa. Usando um único prompt, a estrutura RAPTOR encontrou quatro novas vulnerabilidades no OpenNDS — uma delas havia passado despercebida em análise manual anterior.
Recomendações para as organizações
A Proofpoint recomenda que as empresas tratem agentes de IA como identidades digitais de primeira classe, com governança de acesso rigorosa, trilhas de auditoria e envolvimento das equipes jurídicas e de conformidade. Já a Forescout reforça a necessidade de maior visibilidade entre ambientes de TI, OT, IoT e dispositivos médicos, ciclos de patch mais rápidos e o uso defensivo da própria IA para checagem. A Adversa AI aponta que 80% das organizações já relataram ações não intencionais de seus agentes de IA, e que a confiança cega na automação é o principal vetor de exploração — o humano só pode aprovar com segurança se a interface exibir o comando real que será executado, e não uma versão resumida ou manipulada.
