Agentes de IA estão escrevendo código, consultando bancos de dados e chamando APIs em nuvem em nome de milhões de usuários corporativos. A CrowdStrike acredita ter uma resposta para o que acontece quando um desses agentes é sequestrado durante uma tarefa.
Na Fal.Con 2026, em 1º de setembro, a empresa apresentou o Falcon Guardian, uma camada de segurança em tempo de execução desenvolvida especificamente para monitorar e fiscalizar agentes de IA em endpoints empresariais. O produto está integrado ao framework existente da CrowdStrike de Detecção e Resposta de IA Falcon, e seu primeiro teste público não foi uma apresentação simulada. Foi um bloqueio de ataque ao vivo.
O que aconteceu na demonstração?
O cenário apresentado pela CrowdStrike envolveu o Claude Code da Anthropic, um popular assistente de codificação por IA que desenvolvedores executam localmente para automatizar tarefas de programação. Durante a demonstração, o agente recebeu uma injeção de prompt indireto maliciosa, ou seja, uma instrução oculta incorporada em algum lugar na janela de contexto do agente o instruiu a realizar algo que seu operador nunca autorizou.
Esse algo não autorizado estava exfiltrando credenciais da AWS armazenadas na máquina.
O Falcon Guardian interceptou a tentativa antes que quaisquer credenciais deixassem o endpoint. O sistema atribuiu ao incidente uma pontuação de risco crítica de 90, sinalizou a chamada anômala da ferramenta e bloqueou a execução. Em seguida, continuou: o Guardian identificou 12 tentativas de ataque semelhantes em outros agentes no mesmo ambiente, impedindo todas elas sem que nenhuma credencial fosse exfiltrada de qualquer máquina.
O tipo de ataque em si, injeção indireta de prompt, envolve um agente lendo conteúdo de uma fonte externa, como uma página da web, um arquivo ou um comentário de código, onde esse conteúdo contém instruções disfarçadas como contexto legítimo. O agente, seguindo sua programação para ser útil, executa a instrução. O operador humano nunca o vê acontecer.
Como o Falcon Guardian realmente funciona
O Falcon Guardian estende os princípios de detecção e resposta de endpoint da CrowdStrike para a camada de agente de IA. O sistema utiliza ganchos nativos para inspecionar prompts e chamadas de ferramentas em tempo real. Quando um agente tenta realizar uma ação, o Guardian verifica-a em relação à política antes da execução da chamada. Se a chamada parecer uma injeção de prompt, acesso não autorizado a credenciais ou uma solicitação de API fora do escopo, o sistema bloqueia-a e registra o incidente.
Ele também lida com a descoberta. A CrowdStrike disse que atualmente monitora mais de 160 milhões de instâncias de agentes em sua rede empresarial e, por meio dessa visibilidade, identificou mais de 1.800 aplicações agentes distintas. Muitas delas qualificam-se como agentes sombra, ferramentas implantadas por desenvolvedores ou equipes individuais sem aprovação formal de TI.
O produto foi lançado com três áreas funcionais principais: descoberta de agentes conhecidos e desconhecidos em execução em um ambiente, visibilidade em tempo real sobre o que esses agentes estão fazendo e controles ativos que aplicam políticas e bloqueiam ameaças. A CrowdStrike também anunciou integrações adicionais como recursos futuros, com as parcerias existentes com AWS e Anthropic fornecendo a base arquitetônica.
O Falcon Guardian vincula o comportamento do agente às identidades dos usuários e à telemetria em tempo real, permitindo que as equipes de segurança respondam à pergunta de qual operador humano o agente realizou uma ação e o que exatamente tentou, em vez de analisar uma entrada de log anônima.
Por que isso importa para as equipes de segurança empresarial
As defesas na camada do modelo, as barreiras de segurança que provedores de IA incorporam em seus modelos, nunca foram projetadas para ser a última linha de defesa contra um atacante determinado. Elas podem ser contornadas, manipuladas ou simplesmente ausentes em modelos ajustados ou de código aberto. O que a CrowdStrike está argumentando com o Falcon Guardian é que controles em tempo de execução no nível do endpoint precisam existir independentemente do que o fornecedor do modelo tenha implementado.
Para equipes de operações de segurança, o produto resolve uma lacuna de visibilidade nos EDR convencionais, que podem informar que um processo acessou um arquivo, mas não conseguem indicar que um agente de IA foi manipulado para acessar esse arquivo por meio de um prompt oculto em um documento markdown que o agente foi solicitado a resumir.