Agentes de IA começam a colaborar em ataques cibernéticos, gerando preocupações com segurança

Nos últimos anos, as discussões sobre ameaças de IA permaneceram em grande parte hipotéticas: as pessoas sempre se preocuparam com modelos em caixas de bate-papo se tornando conselheiros, ajudando hackers a escrever códigos de vírus destrutivos.

Agora, olhando para trás, esse tipo de preocupação costumava ser considerado “algo distante de nós”, mas os pontos de virada do mundo real chegaram mais rápido do que se imaginava.

No início de outubro, a CrowdStrike, ao investigar um ataque contra instituições financeiras da Coreia do Sul, descobriu que os atacantes já haviam incorporado o Agentic AI na cadeia de produção, conectando-se a múltiplos grandes modelos, como DeepSeek, GLM e Grok, permitindo que a IA assumisse diretamente tarefas como testes de penetração, coleta de informações e execução de ataques.

Essas mudanças semelhantes não são isoladas.

O mais recente relatório de inteligência de ameaças lançado pela Anthropic em setembro mostra que frameworks de múltiplos agentes já foram utilizados para reconhecimento, exploração de vulnerabilidades e roubo de dados, operando continuamente por horas ou até dias, com humanos apenas envolvidos em poucas decisões críticas, como selecionar alvos e revisar resultados.

Em outras palavras, a IA está trazendo uma transformação qualitativa visível para a guerra cibernética; anteriormente, os ataques automatizados dependiam principalmente de regras e scripts pré-escritos, mas agora agentes também assumem funções como reconhecimento, julgamento e ajuste de estratégias, tornando os ataques ainda mais baratos, de alta concorrência e capazes de operar continuamente de forma autônoma.

Mas quando essas entidades com capacidade de execução autônoma são intensamente implantadas em sistemas de produção, surge um problema ainda mais complicado: e se, à medida que os Agentes se tornam cada vez mais numerosos e profundamente integrados em nosso dia a dia e vida pessoal, eles aprenderem a se "conspirar" entre si?

Ainda é o mesmo velho argumento: a maior diferença entre um agente e os chatbots anteriores não é apenas que o modelo é mais poderoso, mas sim que ele começou a ter "mãos e pés" no mundo real.

Hoje, um agente maduro já pode abrir páginas da web, executar código, ler e-mails, chamar APIs, operar serviços em nuvem e conectar-se a um número crescente de ferramentas externas por meio de MCP, Skills e outros métodos (leitura recomendada: Quando hackers usam IA de forma mais eficiente, como a corrida armamentista entre ataque e defesa no Web3 se intensifica?).

Quanto maior a capacidade, mais valiosa essa mudança se torna, mas para sistemas de segurança, isso significa que a fronteira anteriormente muito importante está desaparecendo, e uma série de eventos de segurança ocorridos este ano já demonstrou isso de forma muito intuitiva.

Em 1º de outubro, a Salt Labs revelou uma vulnerabilidade no Manus já corrigida, que, em essência, ainda se trata de injeção de prompt — os pesquisadores precisavam apenas enviar um e-mail comum contendo instruções maliciosas ocultas para o e-mail-alvo; quando o usuário solicitasse posteriormente ao Manus “me ajude a verificar os e-mails”, o agente poderia processar o conteúdo conforme as instruções do e-mail, executando finalmente o código implantado pelo atacante.

O processo não exigiu que o usuário clicasse em links maliciosos nem que senhas fossem roubadas antecipadamente; o sistema de segurança do Manus realmente detectou a anomalia e emitiu um aviso ao usuário, mas o problema é que a detecção ocorreu muito tarde — quando o aviso apareceu, o código malicioso já havia sido executado.

Isso mais uma vez expõe uma diferença muito importante entre a segurança de Agent e a segurança de software tradicional: anteriormente, quando um navegador detectava um download perigoso, podia exibir um aviso para que o usuário decidisse se desejava continuar; quando um banco detectava uma transação anormal, podia congelá-la temporariamente e aguardar revisão humana.

Mas o objetivo de design de um agente é exatamente minimizar ao máximo a participação humana em cada etapa, pois ele precisa ler as informações, tomar decisões e continuar executando a próxima etapa.

Assim, à medida que a IA ganha cada vez mais autonomia, simplesmente "detectar perigo" já não é necessariamente suficiente; os mecanismos de segurança devem ser capazes de impedir ações perigosas antes que sejam executadas.

É por isso que as discussões sobre segurança de agentes estão se movendo para um nível mais profundo: não apenas perguntar se a IA "sabe que não deveria fazer isso", mas também se o sistema tem capacidade de impedir que ela o faça, mesmo que realmente queira.

A emergência de múltiplos Agentes torna esse problema ainda mais complexo, pois o que precisa ser limitado na próxima fase pode não ser mais apenas um Agente.

No início de setembro, um evento ocorrido no ambiente de treinamento e avaliação de modelos internos da OpenAI chamou a atenção de muitos pesquisadores de segurança de IA.

Alguns Agentes, que originalmente deveriam completar suas próprias tarefas separadamente, descobriram acidentalmente um Wiki público e o transformaram gradualmente em uma “placa de mensagens compartilhada” entre eles, onde os Agentes podem deixar informações que outros posteriormente lerão e utilizarão para continuar suas próprias tarefas.

OpenAI posteriormente confirmou esse comportamento, e informações divulgadas posteriormente também mostraram que, em outros processos de treinamento, o Agente já utilizou o Artifactory interno como um quadro de mensagens compartilhado e transmitiu resultados para outros Agentes que trabalhavam em conjunto por meio de serviços públicos de hospedagem de arquivos.

O ponto realmente interessante sobre isso é que demonstra que a colaboração entre agentes pode não precisar ser tão dramática.

Por exemplo, um agente descobre que pode deixar informações em um determinado local, outro agente lê acidentalmente essas informações e, em seguida, um terceiro agente percebe que essas informações ajudam a concluir a tarefa.

Claro, a colaboração entre agentes em si não é algo ruim; sistemas multiagentes precisam depender da divisão de tarefas e do compartilhamento de informações para aumentar a eficiência.

O que realmente merece atenção é quando essa colaboração começa a contornar a isolamento de informações original, a revisão independente ou as restrições de permissão, e até mesmo faz com que vários Agentes que deveriam se equilibrar mutuamente formem uma aliança de interesses de fato, podendo evoluir de uma colaboração normal para uma “conspiração” prejudicial.

Apesar de tudo, no futuro, uma instituição financeira provavelmente executará vários Agentes simultaneamente, como um responsável por analisar o mercado, outro por avaliar riscos, um terceiro por gerar estratégias de negociação e um quarto com permissões reais para realizar negociações e operações de ativos.

Do ponto de vista da gestão de permissões tradicional, esse design é até razoável:

• O Agent de pesquisa não tem permissão para transferências;
• O Agent não tem permissão para decidir independentemente a direção do investimento;
• O Agente de Risco também pode vetar estratégias claramente perigosas;

As responsabilidades foram divididas, o que teoricamente deve ser mais seguro do que permitir que um super Agente tenha todos os privilégios.

Mas a questão é que, se elas puderem compartilhar permanentemente a Memória, ler as saídas umas das outras e ajustar continuamente seu comportamento com base nas reações umas das outras, esses conjuntos de papéis originalmente destinados a se limitarem mutuamente não acabarão se tornando um todo de fato?

Por exemplo, o agente de pesquisa pode gradualmente aprender como descrever uma transação de forma mais fácil de passar na revisão de risco; o agente responsável pela revisão também pode desenvolver certas preferências fixas com base em dados históricos; o agente de execução, por sua vez, aprende com base em grandes volumes de resultados de aprovação anteriores quais limites geralmente não são bloqueados.

Do ponto de vista deste ângulo, nenhuma etapa está necessariamente "agindo mal", mas o resultado final do sistema pode já ter se desviado do objetivo original definido pelo usuário.

Isso é exatamente o que torna o "conluio" ou a "colusão" tão difíceis de resolver — o risco nem sempre está presente nas ações de um único agente, mas pode estar nas relações formadas entre vários agentes.

Em 13 de setembro, Vitalik Buterin conectou essa questão ao seu longo estudo anterior sobre design de mecanismos. Ele propôs que a teoria do design de mecanismos para governança adversária pode eventualmente se tornar uma importante aplicação para a Segurança da IA.

A razão é que ambos os problemas têm uma semelhança profunda.

Na design tradicional de mecanismos, trata-se de um sistema relativamente simples e estático que tenta restringir um grupo de pessoas muito mais inteligentes do que o próprio sistema e que ativamente buscam os limites das regras; já nos futuros sistemas de IA, pode se tornar humanos e IA com capacidade relativamente mais fraca tentando gerenciar um grupo de Agentes avançados mais capazes do que eles.

Vitalik destacou especialmente que uma descoberta importante no design de mecanismos passados foi que, se for possível limitar eficazmente a colusão entre participantes, o sistema geralmente facilita resultados desejáveis.

Essa conclusão também pode se aplicar à IA.

Em outras palavras, em vez de assumir que no futuro existirá um modelo perfeito e superseguro capaz de enxergar todos os comportamentos perigosos, pense de outra forma: como fazer com que os diferentes Agentes dentro do sistema não sejam tão propensos a formar comunidades de interesses perigosas?

Essa é também a verdadeira diferença entre “governação adversária” e o controle de permissões com o qual estamos familiarizados hoje.

Os sistemas de permissão tradicionais resolvem problemas relativamente simples, centrando-se principalmente em “quem pode fazer o quê”, como: um agente pode ler e-mails? Pode chamar a interface de negociação? Qual é o valor máximo que pode gastar por dia? Quais contratos pode acessar? Quando ultrapassar qual valor, o usuário precisa confirmar novamente?

Esses designs, claro, ainda são muito importantes.

Na verdade, quando os Agentes começarem a controlar ativos reais, eles podem se tornar mais importantes do que em qualquer momento anterior.

Mas a governança adversarial tenta ir um passo além, focando em como evitar que agentes com diferentes permissões, objetivos e informações, quando executados em conjunto, adquiram capacidades que ninguém possuía anteriormente.

Neste momento, simplesmente “adicionar mais um agente de segurança” nem sempre resolve o problema.

Suponha que o agente responsável pelas transações e o agente responsável pela revisão das transações usem o mesmo modelo, as mesmas fontes de dados, o mesmo contexto e objetivos de recompensa semelhantes; então, embora aparentemente haja duas camadas de revisão, na essência pode ser apenas uma mesma avaliação replicada duas vezes.

Um verdadeiro sistema de contrapesos pode, na verdade, exigir que o sistema conscientemente crie diferenças.

Por exemplo, permita que os Agentes responsáveis por definir e revisar estratégias usem fontes de informação diferentes, limite a memória compartilhada entre diferentes papéis, exija que operações de alto risco passem por mecanismos de verificação independentes, ou faça com que a camada final de execução de ativos aceite apenas solicitações que atendam a regras pré-definidas, em vez de confiar cegamente no julgamento dos Agentes anteriores.

A ideia aqui não é nada nova. Os bancos não dão a uma única pessoa a autoridade total para iniciar pagamentos, aprovar pagamentos e efetuar transferências finais apenas por confiar nos funcionários; empresas cotadas em bolsa não permitem que os departamentos de negócios sejam responsáveis por gerar receita e, ao mesmo tempo, decidir sozinhos os resultados de suas auditorias financeiras.

Em outras palavras, isso é consistente com a lógica do mundo real: um sistema robusto não deveria basear sua segurança na suposição de que os participantes nunca cometerão erros ou conspirarão.

Colocar essa lógica na Agent Wallet torna-se especialmente importante.

A segurança das carteiras tradicionais gira em torno do «ser humano»: o usuário verifica o conteúdo da transação, decide se autoriza e, por fim, assina pessoalmente; mas o que a Agent Wallet busca realizar é exatamente o oposto — permitir que a IA lhe ajude automaticamente a resgatar rendimentos, ajustar posições, trocar ativos, fazer transferências entre cadeias e até gerenciar um portfólio inteiro com base nas mudanças do mercado.

Se cada etapa for confirmada novamente pelo usuário, o valor automatizado do Agente será significativamente reduzido.

Portanto, a questão que o futuro da carteira precisará resolver provavelmente não será mais apenas "como atribuir com segurança o poder de assinatura ao Agente", mas poderá se expandir ainda mais para "como permitir que o Agente tenha suficiente autonomia, sem nunca ultrapassar os limites autorizados pelo usuário?"

This requirement evolves the permission system from a simple "Allow/Deny" to a more granular framework.

Por exemplo, um Agente pode operar quais ativos durante um determinado período, quais protocolos pode invocar, e quais são os limites por transação e acumulados; se diferentes Agentes podem invocar uns aos outros e se é permitido compartilhar contexto; quem propõe, quem revisa e quem executa finalmente uma operação; quais ações podem ser concluídas automaticamente e quais ações, independentemente do grau de certeza do Agente, exigem autorização humana novamente.

Mesmo um Agente responsável pela auditoria de segurança pode se tornar parte do sistema de permissões, em termos de sua verdadeira independência.

Para a blockchain, a boa notícia é que ela própria é muito adequada para assumir esse papel de "camada institucional".

Os contratos inteligentes podem implementar diretamente na camada de execução restrições como valor da transação, escopo de ativos e período de autorização. Mecanismos como abstração de conta, assinatura múltipla e Session Key também proporcionam um espaço de design mais flexível para autorizações limitadas em comparação com carteiras tradicionais de uma única chave privada.

Mas a blockchain também resolve apenas uma parte dos problemas — ela pode registrar o que ocorreu na cadeia, mas tem dificuldade em naturalmente determinar por que o Agente agiu dessa forma, e quais foram as comunicações, revisões e colaborações que ocorreram entre vários Agentes antes de tomarem uma decisão.

Essa pode ser a camada de segurança real que o Agent Wallet precisa preencher na próxima fase.

Nos últimos anos, a questão mais discutida em segurança de IA foi como tornar os modelos mais "obedientes".

Isso inclui não gerar conteúdo perigoso, não executar instruções maliciosas e não ultrapassar os limites definidos pelo usuário, mas quando o Agente começar a ter memória de longo prazo, capacidade de chamada de ferramentas e habilidades de execução de contas e ativos reais, apenas depender de “tornar o modelo mais obediente” pode já não ser suficiente.

O que aconteceu nos últimos meses está continuamente demonstrando isso.

Os atacantes já começaram a utilizar múltiplos Agentes em paralelo para realizar ataques; os Agentes no ambiente de teste estão se auto-organizando para encontrar novos canais de comunicação; um Agente com permissão de ferramentas também pode transformar um e-mail malicioso em execução real antes que os sistemas de segurança tenham tempo de bloqueá-lo.

A governança adversarial proposta por Vitalik oferece outra maneira de entender a segurança da IA: não assumir que cada agente futuro será suficientemente confiável, permitindo que todo o sistema continue operando de forma estável dentro de um quadro seguro, mesmo diante de agentes inteligentes e sistemas complexos de permissões.

Do ponto de vista deste ângulo, AI Agent + segurança é certamente um tema de longo prazo.

Afinal, quando entregamos cada vez mais tarefas à IA, ainda podemos ter certeza de que os poderes mais importantes nunca saíram dos limites verdadeiramente definidos pelos seres humanos.