Por que a segurança tradicional de aplicações não funciona mais
A segurança de aplicações (AppSec) foi construída sobre uma premissa simples: aplicações fazem o que seu código diz. Agentes de IA quebram essa premissa. O comportamento de um agente emerge da combinação de modelo, prompt de sistema, contexto recuperado, input do usuário e as ferramentas que ele pode chamar. Duas implantações idênticas podem se comportar de maneira completamente diferente.
Os modos de falha também são novos. Injeção de prompt chega através de dados, não de código. Um agente com permissões excessivas pode executar ações danosas sem que nenhuma vulnerabilidade seja explorada. Um modelo descontinuado continua servindo predições depois que seu mantenedor para de corrigi-lo. Uma descrição de ferramenta envenenada em um servidor MCP pode redirecionar o comportamento do agente sem tocar na aplicação. Nada disso aparece em um feed de CVE tradicional.
O guia prático “Securing AI agents, MCP servers & LLM apps: A practical framework”, publicado pela Mend.io, oferece uma estrutura organizada em três movimentos: ver o que importa, corrigir o que importa mais rápido e proteger IA em produção. O framework inclui sete artefatos reutilizáveis que as equipes podem adotar imediatamente.
O mapa das cinco camadas de superfície de ataque
O primeiro artefato do guia mapeia cinco camadas distintas de risco que toda equipe de segurança deve monitorar:
- Interação: inputs de usuários, documentos recuperados, mensagens entre agentes → injeção de prompt, envenenamento de contexto, exfiltração de dados
- Agente: prompts de sistema, configurações, memória, níveis de autonomia → ferramentas com permissão excessiva, padrões inseguros, sequestro de objetivos
- Integração: servidores MCP, definições de ferramentas, plugins, APIs → descrições de ferramentas envenenadas, credenciais sem escopo, servidores sombra
- Modelo: modelos foundation e fine-tuned, embeddings → modelos em fim de vida, risco de supply chain, gerações inseguras
- Código: código gerado por IA, frameworks de IA, SDKs → código vulnerável, CVEs de framework, pacotes maliciosos
Descoberta de agentes e servidores MCP
Agentes raramente chegam via procurement formal. O guia identifica três categorias para caçar: agentes sombra, servidores MCP não registrados e frameworks de IA embarcados. Cada servidor MCP precisa de um proprietário, um escopo de acesso e uma revisão documentada.
São cinco métodos de descoberta: escanear repositórios por assinaturas agentivas, monitorar tráfego de rede para endpoints de API de modelos, auditar contas de serviço e chaves de API, tornar a declaração barata via registro leve e automatizar continuamente — descoberta pontual fica obsoleta rapidamente.
O Artefato 2.1 estende o AI-BOM com nove campos por agente ou servidor MCP: identidade, dependência de modelo, nível de autonomia, permissões de ferramentas, escopo de credenciais, alcance de dados, endpoints MCP, localização do prompt e última revisão. O Artefato 2.2 é um checklist de 12 pontos de configuração incorreta: credenciais com escopo para recursos específicos, não acesso amplo; zero compartilhamento de credenciais entre agentes; ferramentas de alto impacto exigindo aprovação humana; prompts de sistema versionados, não editáveis em produção; servidores MCP autenticando clientes; descrições de ferramentas revisadas contra conteúdo de injeção antes da adoção.
Priorização e triagem inteligente
A IA expandiu a superfície de findings, não apenas a superfície de ataque. O pipeline é: enriquecer → priorizar → triar. Os sinais de priorização, em ordem de valor: alcançabilidade, contexto de explorabilidade, contexto de negócio, amplificação agentiva e disponibilidade de correção.
O Artefato 3.1 define a linha de automação com clareza:
| Decisão | Encaminhamento |
|---|---|
| Alcançabilidade/dataflow, classes bem compreendidas | Automatizar |
| Avaliação FP/TP com trilhas de evidência | Automatizar, com amostragem |
| Aplicações de tier 3/alto risco | Assistência de IA, decisão humana |
| Classes novas, comportamentos de IA, sem evidência | Apenas humano |
| Aceitação de risco ou adiamento de correção | Apenas humano, documentado |
Duas regras governam o sistema: todo fechamento automatizado carrega evidência — se o sistema não consegue mostrar por que algo é um falso positivo, vai para um humano. Taxas de erro recebem revisão por amostragem, com thresholds que disparam retreinamento.
Proteção em runtime: guardrails e hardening
A proteção em runtime envolve guardrails, hardening de prompts, imposição de políticas e monitoramento, operando como um ciclo com red teaming de IA. Descobertas de red team melhoram guardrails, enquanto logs de guardrails guiam os testes seguintes.
Os guardrails podem ser implantados de duas formas: via SDK Python in-app (suportando modos Online ou Offline isolado) ou como API Server standalone (Docker), que não requer alterações de código nem dependências de Python. A configuração mínima viável inclui guardrails de entrada capturando injeções de prompt, requests fora de política e jailbreaks, além de guardrails de saída detectando credenciais, PII, código proprietário, conteúdo inseguro e violações de política.
O hardening de prompts de sistema segue cinco padrões: assumir divulgação, separar instruções de dados, restringir o raio de dano, versionar e revisar, e testar adversarialmente. Definir permissões estritas é mais eficaz que instruções em prompt — impedir acesso a ferramentas remove a necessidade de instruir contra ações perigosas.
Roteiro de maturidade
O framework define quatro estágios — Emergente, Em Desenvolvimento, Controlado e Líder — alinhados ao NIST AI RMF, OWASP AIMA, ISO/IEC 42001 e EU AI Act. O Artefato 5.1 é uma autoavaliação de 15 perguntas: 0–5 Emergente, 6–10 Em Desenvolvimento, 11–13 Controlado, 14–15 Líder.
O que isso significa para times brasileiros
Com a adoção acelerada de agentes de IA no mercado brasileiro — especialmente em fintechs, healthtechs e varejo — este framework chega em um momento crítico. A LGPD já exige governança de dados, e a integração com agentes autônomos adiciona uma camada de complexidade que os times de segurança não podem ignorar. O checklist de 12 pontos de configuração e o mapa de cinco camadas de ataque são particularmente úteis para CISOs que estão montando seus primeiros programas de segurança para IA.
Descubra mais sobre noticiAI
Assine para receber nossas notícias mais recentes por e-mail.
