A segurança agora tem IA dos dois lados

Em janeiro de 2026, a polícia cantonal de Schwyz relatou um caso que, há poucos anos, pareceria ficção. Ao longo de duas semanas, criminosos telefonaram para o dono de uma empresa local e se passaram por um parceiro de negócios que ele conhecia, com uma voz manipulada por IA. Sob o pretexto de um negócio internacional confidencial, ele fez várias transferências, num total de vários milhões de francos, para uma conta na Ásia. A fraude só foi percebida depois que o dinheiro já tinha ido embora.

Esse é um dos lados da segurança hoje: atacantes que usam IA. O outro lado está dentro da empresa, onde agentes leem e-mails, guardam chaves e enviam coisas para fora. Uma empresa precisa se planejar para os dois. Construímos agentes para o nosso próprio trabalho e para clientes, então nenhum dos lados é abstrato para nós.

Uma voz conhecida

O caso de Schwyz não é isolado. Em fevereiro de 2025, a Reuters noticiou que golpistas tinham clonado a voz do ministro da Defesa da Itália, Guido Crosetto, para pedir dinheiro a empresários a pretexto de libertar jornalistas sequestrados. Massimo Moratti, ex-dono da Inter de Milão, enviou quase um milhão de euros antes que a polícia rastreasse o valor até uma conta na Holanda e o bloqueasse.

O FBI agora contabiliza esses casos à parte. Seu relatório sobre crimes na internet em 2025 lista mais de 22'000 denúncias que mencionaram IA, com perdas ajustadas acima de 893 milhões de dólares, e observa que muitas vítimas não percebem até que ponto a IA esteve envolvida. Empresas perderam mais de 30 milhões de dólares em fraudes por e-mail com algum elemento de IA, em que uma mensagem convincente ou uma voz clonada pede um pagamento. O órgão também descreve entrevistas de emprego feitas com vozes falsificadas, possivelmente deepfakes, geralmente para obter acesso à rede de uma empresa.

Phishing sem erros de digitação

Os ataques por escrito mudaram na mesma medida. O Digital Defense Report 2025 da Microsoft constatou que e-mails de phishing automatizados com IA receberam cliques em 54 por cento das vezes, contra 12 por cento dos comuns. A ENISA, a agência de cibersegurança da UE, escreveu em outubro de 2025 que o phishing apoiado por IA representava, segundo relatos, mais de 80 por cento da atividade de engenharia social observada no mundo no início de 2025.

Os atacantes também usam IA na própria invasão. Em novembro de 2025, a Anthropic relatou uma campanha que atribuiu, com alto grau de confiança, a um grupo patrocinado pelo Estado chinês, que usou o Claude Code contra cerca de trinta organizações e deixou a IA fazer de 80 a 90 por cento do trabalho. O ataque teve êxito em um pequeno número de casos. O panorama da OWASP sobre o primeiro trimestre de 2026 acrescenta uma invasão a órgãos do governo mexicano em que os atacantes teriam usado o Claude e, por vezes, o ChatGPT.

Os velhos sinais de alerta, uma frase desajeitada ou uma voz estranha, já não funcionam. A confiança precisa vir do processo, não dos sentidos.

Palavras que agem

Dentro da empresa, o risco tem outra forma. Um chatbot que dá uma resposta errada é um constrangimento. Um agente que executa uma ação errada é um incidente. A fraqueza central é a prompt injection, primeira da lista de 2025 da OWASP de riscos para aplicações construídas sobre modelos de linguagem: instruções escondidas em uma página da web, um arquivo ou um e-mail que o modelo lê e segue.

O National Cyber Security Centre do Reino Unido explicou em dezembro de 2025 por que ela é tão persistente. Os modelos de linguagem não impõem uma fronteira entre instruções e dados, então a prompt injection talvez nunca seja totalmente mitigada como foi a SQL injection. O trabalho é reduzir o risco e o seu impacto. O desenvolvedor Simon Willison deu nome à combinação perigosa em junho de 2025: dados privados, conteúdo não confiável e um meio de se comunicar com o exterior. Um agente com os três pode ser instruído pelo texto de um estranho a enviar seus dados para fora.

Agentes com chaves

Incidentes reais seguem esse formato. Em junho de 2025, a Aim Labs mostrou que o Microsoft 365 Copilot podia ser levado a vazar dados internos por meio de um único e-mail, sem nenhum clique da vítima. A Microsoft já tinha corrigido a falha e não viu indícios de abuso. Em agosto de 2026, a Varonis publicou o CoSnitch, uma cadeia de falhas no Copilot Personal. Um único link manipulado executava o prompt do atacante na sessão da vítima, usava as conexões dela com Gmail, Google Drive, Google Calendar e OneDrive e enviava os resultados para fora pelo próprio recurso do Copilot para buscar páginas da web. Instruções plantadas sobreviviam na memória mesmo depois de uma troca de senha. A premissa quebrada, escreveram os pesquisadores, era a de que toda chamada a um conector vinha do usuário.

Conectores são fornecedores, com os riscos de um fornecedor. Em setembro de 2025, um pacote no registro npm que se passava pelo servidor MCP do serviço de e-mail Postmark publicou quinze versões limpas e depois acrescentou uma linha que copiava cada e-mail enviado para o atacante. Ele tinha cerca de 1'500 downloads em uma semana quando a Koi Security o sinalizou.

O Top 10 da OWASP para aplicações agênticas, publicado em dezembro de 2025, agora dá nome a esses riscos, do sequestro de objetivos e do uso indevido de ferramentas à memória envenenada e aos agentes descontrolados. O panorama do terceiro trimestre de 2026 acrescenta um ponto sóbrio: agentes podem causar dano simplesmente perseguindo a tarefa que receberam, e permissões em excesso transformam uma pequena falha em uma grande. Instruções em um prompt não formam, sozinhas, uma fronteira segura.

Defesas que se sustentam

As defesas que funcionam dos dois lados compartilham uma ideia. Elas não dependem de ninguém, pessoa ou modelo, para perceber o truque no momento. Limitam o que uma pessoa enganada ou um agente desorientado consegue fazer.

Para as pessoas, a polícia de Schwyz lista o que ajuda: verificar qualquer pagamento urgente ou incomum por um segundo canal, independente, manter o princípio dos quatro olhos para valores altos e não fazer nenhuma transferência para o exterior sem aprovação documentada.

Para os agentes, dê a cada um o acesso mais restrito que a sua função exige. Quando um modelo lê conteúdo de uma parte, diz o NCSC, seus privilégios devem cair ao nível dessa parte. Desfaça a tríade. Coloque o envio, o pagamento, a publicação e a exclusão atrás de uma barreira que o modelo não consiga contornar com conversa. Execute cada escrita sob a identidade da pessoa que a pediu, mantenha as credenciais fora de alcance, trate cada conector como um novo fornecedor e registre o que o agente fez, não apenas o que ele disse.

A IA pode assumir as verificações de rotina e a leitura. O que continua humano é a pausa quando um pedido parece errado, o discernimento para ligar de volta e a responsabilidade de quem assina.

Como construímos os nossos

O Kontor, nosso conector para o bexio, é um servidor MCP hospedado, então nenhuma chave fica em um notebook, e cada pessoa entra com o próprio login. Envios, pagamentos e lembretes de cobrança nem sequer estão disponíveis para o assistente. O Twin aplica as mesmas regras em toda a empresa: acesso por função, cada escrita autenticada por usuário, cada etapa registrada.

Onde os dados são críticos demais para qualquer conexão externa, existe o Eigna, desenvolvido pelo nosso parceiro Eigna Labs: um modelo privado por empresa, na nuvem dela ou em seus próprios servidores, projetado para rodar totalmente offline em redes fechadas e treinado para recusar invasões e ataques. E o Timbre, nosso produto para assistentes de voz e clones de voz, só clona uma voz com o consentimento de quem fala.

Uma empresa pode começar nesta semana. Combine uma regra de retorno de ligação para todo pedido de pagamento, diga a cada equipe que uma voz conhecida já não é prova, liste cada agente e conector com o acesso que ele tem e retire o que ele não precisa.