Como a Infraestrutura Legada Pode Sequestrar Agentes de IA Empresariais

A rápida adoção de agentes de inteligência artificial está transformando a forma como as organizações executam processos, acessam informações e automatizam operações críticas. De assistentes corporativos integrados a plataformas de CRM até copilotos que consultam bases de conhecimento empresariais, os agentes de IA estão assumindo um papel cada vez mais estratégico dentro das operações corporativas.

No entanto, enquanto grande parte da atenção do mercado está concentrada em ameaças como envenenamento de modelos, vazamento de dados, injeção de prompts e outras vulnerabilidades diretamente associadas à IA, existe uma superfície de ataque frequentemente negligenciada: a infraestrutura legada que sustenta esses agentes.

O problema não está necessariamente no modelo de IA em si. Na maioria dos casos, os agentes dependem de sistemas corporativos já existentes, incluindo serviços de identidade, ambientes de nuvem, buckets de armazenamento, funções automatizadas e integrações com aplicações empresariais. Consequentemente, qualquer fragilidade presente nesses componentes pode se tornar uma porta de entrada para o comprometimento de todo o ecossistema de IA.

Segundo os dados apresentados no material original, aproximadamente 71% das organizações já estão testando agentes de IA em aplicações corporativas, enquanto 31% os integraram a fluxos de trabalho de produção. Esse avanço acelerado amplia significativamente a superfície de exposição, especialmente quando a segurança da infraestrutura subjacente não evolui na mesma velocidade.

O problema estratégico: agentes de IA dependem de sistemas herdados

Existe uma percepção comum de que os riscos associados aos agentes de IA estão concentrados exclusivamente na camada de inteligência artificial. Entretanto, essa visão ignora uma realidade fundamental: agentes corporativos não operam isoladamente.

Para entregar respostas, executar ações ou automatizar processos, esses agentes precisam acessar recursos corporativos existentes. Isso inclui sistemas de autenticação, repositórios de dados, serviços de armazenamento em nuvem, aplicações SaaS, APIs corporativas e mecanismos de automação.

Na prática, isso significa que os agentes herdam não apenas os recursos dessas plataformas, mas também suas vulnerabilidades históricas. Um servidor sem atualização de segurança, uma permissão excessiva em um ambiente IAM ou uma credencial armazenada inadequadamente podem fornecer aos invasores exatamente o acesso necessário para manipular os recursos consumidos pela IA.

O risco se torna ainda maior porque os agentes frequentemente recebem privilégios elevados para executar suas funções. Segundo os dados apresentados no artigo original, 70% das organizações concedem aos sistemas de IA mais privilégios do que concederiam a um colaborador humano ocupando a mesma função.

Esse comportamento cria um cenário particularmente perigoso. Em vez de atacar diretamente o modelo de IA, um invasor pode explorar sistemas tradicionais e utilizar os privilégios do agente para alcançar ativos corporativos críticos.

Consequências da inação: quando vulnerabilidades moderadas se tornam ameaças críticas

Um dos pontos mais relevantes do cenário apresentado é que, isoladamente, muitas vulnerabilidades não seriam classificadas como ameaças críticas.

Em ambientes corporativos complexos, é comum encontrar servidores sem patches recentes, permissões excessivas, contas de serviço mal gerenciadas e configurações inadequadas de identidade. Frequentemente, essas falhas são registradas pelas equipes de segurança, mas recebem baixa prioridade por parecerem apresentar impacto limitado.

O problema surge quando essas vulnerabilidades são analisadas em conjunto.

Os agentes de IA funcionam como pontos de convergência entre diversas camadas tecnológicas. Dessa forma, uma falha aparentemente simples em uma camada pode se conectar a outra vulnerabilidade e criar um caminho completo para comprometimento.

Essa realidade altera completamente a forma como os programas de gerenciamento de riscos devem avaliar a criticidade das exposições existentes.

Fundamentos da ameaça: como os agentes de IA herdam permissões e acessos

Dependência de provedores de identidade

Os agentes de IA normalmente utilizam mecanismos corporativos já existentes para autenticação e autorização. Active Directory, serviços IAM em nuvem e outros provedores de identidade determinam quais recursos podem ser acessados.

Quando permissões excessivas são concedidas, o agente passa a operar com níveis de acesso potencialmente superiores aos realmente necessários para sua função.

Esse cenário contraria diretamente o princípio do menor privilégio, considerado uma das bases fundamentais da segurança moderna.

Dependência de armazenamento corporativo

Bases de conhecimento utilizadas por agentes frequentemente residem em buckets de armazenamento em nuvem, bancos de dados corporativos ou repositórios documentais.

Esses ambientes passam a ter valor estratégico elevado porque influenciam diretamente as respostas produzidas pela IA.

Se um invasor obtiver acesso a esses repositórios, ele poderá comprometer a integridade das informações consumidas pelos agentes.

Dependência de automações e integrações

Muitos agentes executam ações por meio de funções automatizadas, como serviços Lambda e integrações com aplicações corporativas.

Essas integrações ampliam significativamente o alcance operacional da IA, mas também aumentam a quantidade de componentes que precisam ser protegidos.

Cada integração adicional representa um novo caminho potencial para movimentação lateral dentro do ambiente corporativo.

Análise detalhada do cenário de comprometimento apresentado

O artigo apresenta um exemplo particularmente relevante porque demonstra como vulnerabilidades comuns podem ser combinadas em uma cadeia de ataque capaz de comprometer um agente corporativo sem qualquer exploração direta da camada de IA.

Etapa 1: o bucket S3 torna-se um ativo crítico

No cenário descrito, dados de clientes oriundos do Salesforce são exportados para um bucket S3 utilizado pelo Co-Pilot corporativo.

Essa exportação transforma o bucket em um componente estratégico para o funcionamento da IA. O conteúdo armazenado passa a influenciar diretamente as respostas fornecidas aos usuários.

Entretanto, permissões excessivamente amplas foram concedidas a diversos usuários da AWS, incluindo um desenvolvedor que não precisava acessar dados de produção.

Essa configuração inadequada cria um ponto inicial de exposição que, isoladamente, poderia parecer apenas uma falha administrativa.

Etapa 2: exploração da vulnerabilidade CVE-2025-24813

O segundo elemento da cadeia envolve um servidor Apache Tomcat exposto à internet.

O sistema permanecia vulnerável à CVE-2025-24813, uma falha de execução remota de código divulgada em março de 2025 e posteriormente adicionada ao catálogo de Vulnerabilidades Conhecidas e Exploradas da CISA.

Como o servidor não havia sido corrigido, um invasor poderia explorar a vulnerabilidade para obter acesso ao ambiente e capturar credenciais armazenadas em cache.

Isoladamente, trata-se de uma vulnerabilidade importante, mas relativamente comum em ambientes corporativos de grande porte.

Etapa 3: movimentação lateral via Active Directory

Após obter acesso inicial, o invasor explora uma configuração incorreta de Delegação Restrita Baseada em Recursos (RBCD) no Active Directory.

Essa falha permite assumir a identidade de John, o desenvolvedor responsável pela manutenção do Co-Pilot.

Ao alcançar a estação de trabalho do desenvolvedor, o invasor obtém acesso às credenciais utilizadas pela AWS CLI para administração dos recursos em nuvem.

Nesse momento, a cadeia de ataque alcança diretamente os componentes utilizados pelo agente de IA.

Por que o agente foi comprometido sem ser atacado diretamente?

Um aspecto particularmente importante desse cenário é que nenhuma exploração ocorreu contra o modelo de IA.

Não houve injeção de prompt, manipulação do modelo, exploração da inferência nem comprometimento do mecanismo de geração de respostas.

O comprometimento ocorreu porque o invasor assumiu controle dos recursos dos quais o agente depende para operar.

Ao acessar o bucket que alimenta a base de conhecimento, o atacante passa a influenciar aquilo que o agente consulta, interpreta e retorna aos usuários corporativos.

Isso demonstra uma mudança importante de perspectiva para equipes de segurança: proteger apenas a IA não é suficiente quando todo o ecossistema ao redor permanece vulnerável.

Implementação estratégica de uma abordagem baseada em gerenciamento de exposição

O artigo defende que o combate a esse tipo de ameaça exige uma abordagem de gerenciamento de exposição que considere toda a cadeia tecnológica envolvida.

Em vez de analisar vulnerabilidades individualmente, as organizações precisam compreender como diferentes ativos se conectam até alcançar componentes críticos da IA.

Essa mudança é significativa porque altera a forma de priorização das correções.

Uma vulnerabilidade considerada moderada pode receber prioridade máxima quando identificada como parte de um caminho de ataque que leva diretamente a uma base de conhecimento utilizada por agentes corporativos.

Mapeamento reverso dos ativos críticos

A recomendação apresentada consiste em iniciar a análise pelos ativos mais sensíveis associados aos agentes.

Entre eles estão bases de conhecimento, buckets de armazenamento, funções Lambda e demais componentes diretamente consumidos pela IA.

A partir desses ativos, a organização deve identificar quais relações de identidade, permissões e infraestrutura permitem alcançá-los.

Esse processo torna visíveis conexões que normalmente permaneceriam ocultas em avaliações tradicionais.

Identificação de gargalos de segurança

Quando os caminhos completos são mapeados, surgem pontos de controle estratégicos.

Esses gargalos representam locais onde uma única correção pode interromper múltiplas rotas de ataque simultaneamente.

Essa abordagem aumenta significativamente a eficiência operacional das equipes de segurança, especialmente em ambientes complexos e distribuídos.

Melhores práticas para reduzir o risco de sequestro de agentes de IA

Aplicação rigorosa do princípio do menor privilégio

Os dados apresentados demonstram uma diferença significativa entre organizações que aplicam esse princípio e aquelas que concedem privilégios excessivos.

Empresas com sistemas de IA excessivamente privilegiados relataram taxa de incidentes de 76%.

Por outro lado, organizações que adotam o princípio do menor privilégio registraram apenas 17%.

Isso evidencia o impacto direto da governança de acessos na segurança dos agentes.

Correção contínua de infraestrutura legada

Servidores expostos, especialmente aqueles conectados a sistemas corporativos centrais, precisam receber atualizações de segurança de forma consistente.

O cenário apresentado mostra claramente como uma vulnerabilidade conhecida e explorada pode servir como ponto inicial para uma cadeia de comprometimento muito maior.

Revisão periódica de identidades e permissões

Configurações incorretas de Active Directory, IAM e contas de serviço continuam sendo elementos recorrentes em cadeias de ataque modernas.

Uma revisão contínua dessas permissões reduz significativamente a possibilidade de movimentação lateral dentro do ambiente corporativo.

Medição de sucesso em programas de proteção para agentes de IA

A eficácia da proteção não deve ser medida apenas pela ausência de incidentes na camada de IA.

As organizações precisam avaliar continuamente o nível de exposição existente entre infraestrutura legada e ativos utilizados pelos agentes.

A capacidade de identificar caminhos completos de ataque torna-se um indicador estratégico de maturidade operacional.

Da mesma forma, a redução de privilégios excessivos, a eliminação de vulnerabilidades exploráveis e a diminuição das possibilidades de movimentação lateral representam sinais concretos de evolução da postura de segurança.

Conclusão

A expansão dos agentes de IA está transformando operações corporativas em praticamente todos os setores. Contudo, cada nova implantação amplia também a dependência de sistemas existentes que muitas vezes carregam anos de dívida técnica e vulnerabilidades acumuladas.

O cenário apresentado demonstra que agentes de IA podem ser comprometidos sem qualquer ataque direto ao modelo. Servidores sem patches, configurações inadequadas de Active Directory, credenciais armazenadas e permissões excessivas são suficientes para criar cadeias de ataque capazes de alcançar ativos críticos utilizados pela IA.

Para enfrentar esse desafio, as organizações precisam abandonar a visão isolada da segurança de IA e adotar uma abordagem integrada de gerenciamento de exposição. Isso significa analisar como infraestrutura, identidade, nuvem e inteligência artificial se conectam dentro do ambiente corporativo.

À medida que a adoção de agentes continua acelerando, a proteção efetiva dependerá cada vez mais da capacidade de identificar e interromper caminhos de ataque antes que eles sejam explorados. Afinal, como o próprio cenário demonstra, os invasores não precisam necessariamente desenvolver novas técnicas para comprometer agentes de IA. Muitas vezes, basta utilizar vulnerabilidades antigas em infraestruturas que ainda não foram adequadamente protegidas.