Um assistente de IA que apenas redige texto pode errar, soar estranho ou ser pouco útil. Um agente de IA é diferente. Pode ler uma caixa de email partilhada, pesquisar documentos internos, criar um ticket, atualizar um registo ou preparar uma mensagem para um cliente. Isto é útil até ao momento em que um email, página web ou documento não confiável começa a levar o agente para onde não devia ir.

A nova superfície de ataque é conteúdo normal

A OWASP coloca a injeção de prompts no topo da sua lista de riscos de 2025 para aplicações com LLMs. O problema de base é simples: um modelo de linguagem recebe instruções e dados através do mesmo meio — a linguagem. Uma instrução maliciosa pode ser escrita diretamente num chat, mas a versão mais relevante chega de forma indireta, escondida no material que o agente foi chamado a ler.

Imagine um assistente que resume emails de fornecedores. O email deveria ser apenas dado. Mesmo assim, pode conter texto criado para influenciar o assistente: ignorar o pedido do utilizador, procurar outro documento, revelar um detalhe ou favorecer um resultado. O utilizador pode nunca ver a instrução. O agente processou-a na mesma. Quando esse agente também tem acesso a sistemas e ferramentas, a preocupação deixa de ser uma resposta estranha no ecrã e passa a ser o que acontece depois dela.

Isto não se resolve apenas com melhores prompts

É tentador responder com um system prompt maior: dizer ao modelo para recusar instruções maliciosas e seguir em frente. Vale a pena fazê-lo, mas não é um limite de segurança. A OWASP é clara: não existe um método conhecido e infalível para prevenir injeção de prompts. O código de práticas britânico para cibersegurança de IA também identifica a injeção indireta de prompts como um dos riscos que tornam os sistemas de IA diferentes de software comum.

A pergunta prática não é se um agente pode alguma vez ser confundido. Pode. A pergunta é o que o sistema à sua volta permite que um agente confundido faça. Um bom desenho assume que conteúdo não confiável chegará ao modelo mais cedo ou mais tarde e garante que esse conteúdo não se consegue transformar em autoridade. O modelo pode recomendar uma ação; a política e as pessoas decidem se ela é permitida.

As permissões do agente controlam o verdadeiro raio de impacto

A orientação do NCSC sobre IA agêntica é direta: comece pequeno, mantenha as tarefas bem delimitadas e nunca dê a um agente acesso ilimitado a dados sensíveis ou sistemas críticos. O princípio do menor privilégio não é aqui uma caixa para assinalar. É a diferença entre um mau resumo e um incidente relevante.

Um assistente de conhecimento interno pode precisar de acesso de leitura a um conjunto pequeno e curado de procedimentos. Não precisa de pesquisa em toda a caixa de correio, de um token de administrador de longa duração, de poder convidar utilizadores externos ou de enviar mensagens diretamente para fora da empresa. Um agente que redige uma resposta pode parar num ecrã de revisão. Um agente que altera um pagamento, concede acessos ou envia dados para o exterior deve encontrar uma regra obrigatória e uma aprovação humana.

Uma primeira implementação sensata para uma PME

Comece com uma tarefa estreita e reversível: classificar pedidos de suporte, resumir documentos aprovados, preparar uma resposta em rascunho ou extrair campos de um formato conhecido. Mantenha o agente em modo de leitura sempre que possível. Dê-lhe credenciais de curta duração, um conjunto pequeno de ferramentas permitidas e registos que mostrem o que leu, que ferramenta tentou usar e o que foi efetivamente aprovado.

Depois teste-o como um atacante testaria. Coloque instruções adversariais num email, PDF, artigo da base de conhecimento e página web de teste. Veja se o agente muda de rumo, tenta chamar uma ferramenta, procura dados fora do seu âmbito ou produz um pedido externo invulgar. O objetivo não é provar que o modelo é perfeito. É provar que a empresa se mantém segura quando o modelo é imperfeito.

A regra que vale a pena guardar

Trate cada documento, email, página web, anexo e resposta de ferramenta como conteúdo não confiável — mesmo quando parece rotineiro. Trate a saída do agente como uma recomendação, não como uma instrução para executar. Estes dois hábitos transformam uma conversa vaga sobre segurança de IA em decisões que uma equipa de TI consegue implementar.

A brianda.cloud ajuda pequenas organizações a introduzir IA por esta ordem: definir a tarefa, mapear dados e permissões, limitar ações, criar pontos de aprovação e testar o fluxo antes de este tocar num sistema crítico. O objetivo não é tornar a IA mais lenta. É tornar a automação útil suficientemente segura para a manter.

Fontes

Esta análise da brianda.cloud baseia-se nas fontes públicas indicadas abaixo. É orientação operacional prática, não uma garantia de que um sistema de IA específico é seguro.

Fontes consultadas para esta análise:

  1. LLM01:2025 Prompt InjectionOWASP Gen AI Security Project · 2025
  2. Thinking carefully before adopting agentic AINational Cyber Security Centre (UK) · 2026
  3. Code of Practice for the Cyber Security of AIUK Department for Science, Innovation and Technology · 2025
  4. AI RMF: Generative Artificial Intelligence Profile (NIST AI 600-1)NIST · 2024-07
  5. AI Security Report 2026Check Point Research · 2026-07-14