Segurança de agentes de IA: o risco que aparece quando o agente ganha acesso às suas contas
Até pouco tempo, segurança de agentes de IA era conversa de time de infraestrutura. Isso mudou quando as plataformas de anúncio abriram acesso de escrita. Desde 16 de julho de 2026, um agente conectado ao servidor MCP da Meta cria campanha, edita público, mexe em catálogo e roda teste A/B na sua conta. A conta continua no seu nome. A responsabilidade também.
A gente opera agentes em produção todo dia, com acesso a plataforma de mídia, CRM e publicação. Aprendemos que a pergunta útil não fica no que o agente consegue fazer de bom. Fica no que ele consegue fazer de errado quando alguém escreve a mensagem certa no lugar certo. Este post é o que a gente checa antes de entregar a chave.
O agente parou de sugerir e passou a executar
Durante 2025, o agente de marketing era basicamente um copiloto de texto. Ele lia relatório, sugeria ajuste, escrevia rascunho. Você aplicava na mão. Esse desenho tinha uma vantagem silenciosa de segurança: entre a decisão da IA e o efeito no mundo real existia uma pessoa.
Em 2026 essa pessoa saiu do caminho em boa parte das operações. Os números do Agentic Enterprise Index da Salesforce, publicado em agosto, mostram a média de agentes ativos por organização saindo de 5 em fevereiro de 2025 para 13 em abril de 2026, com o tempo de criação de um agente caindo 53%. Ficou mais barato criar agente do que revisar o que ele faz.
No marketing especificamente, a virada veio pelos servidores MCP das plataformas. O protocolo padroniza como o agente conversa com ferramenta externa, e cada plataforma decidiu quanto poder dar:
- Meta Ads abriu para terceiros em 16 de julho de 2026, com escrita completa desde o primeiro dia: criar, editar e apagar campanha, público, catálogo e teste A/B.
- Snapchat Ads lançou em 3 de agosto de 2026 somente leitura, com escrita adiada para uma versão futura.
- Microsoft Advertising abriu piloto em 17 de junho de 2026, também somente leitura.
Frederick Vallaeys resumiu o problema num artigo do Search Engine Land em abril: acesso de escrita numa conta de anúncio ativa, nas mãos de um modelo probabilístico, sem restrição institucional, é uma categoria nova de risco. Ele acerta no detalhe que importa. O modelo erra com confiança e em escala, do jeito que alguém mal orientado erra.
O que os dados dizem sobre segurança de agentes de IA
A Gravitee ouviu 750 líderes sênior de tecnologia no Reino Unido e nos Estados Unidos em abril de 2026, entre CIOs, CTOs, VPs de engenharia e heads de plataforma. O retrato é de uma frota crescendo mais rápido que o controle sobre ela.
Dado
A frota de agentes cresce mais rápido que o controle sobre ela
% das organizações, abril de 2026
Fonte: Gravitee, State of AI Agent Security 2026, com 750 líderes sênior de tecnologia no Reino Unido e nos EUA, abril de 2026.
Duas linhas dessa figura conversam de um jeito desconfortável. Mais da metade das empresas já teve incidente, e menos de uma em cada dez tem alguém com responsabilidade formal sobre o assunto. A cobertura média de monitoramento ficou em 52%, o que significa que metade da frota roda sem ninguém olhando. A pesquisa estima que 48% dos agentes em produção estão no ar sem proteção adequada.
Vale ler esse dado com honestidade sobre a amostra: são líderes de tecnologia de empresas grandes, em dois países, num setor que já leva segurança a sério. Numa operação de marketing de PME brasileira, com agente ligado na conta de anúncio por MCP na semana passada, a chance de existir controle formal é menor, não maior.
Prompt injection: quando o conteúdo vira comando
O ataque mais comum contra agente tem pouca sofisticação. Ele explora uma característica de projeto do modelo de linguagem: para o LLM, instrução e conteúdo chegam pelo mesmo canal de texto. Se o agente lê um comentário, um e-mail, uma página ou uma linha de planilha, tudo aquilo entra no contexto com o mesmo status da sua ordem original.
Prompt injection é escrever, dentro de um conteúdo que o agente vai ler, uma instrução para ele obedecer. O relatório State of Agentic AI Security and Governance v2.01 do OWASP GenAI Security Project, de 2026, mapeia essa técnica em 6 das 10 categorias do Top 10 para aplicações agênticas. Ela funciona menos como uma vulnerabilidade isolada e mais como o vetor que ativa quase todas as outras.
As duas formas que aparecem na prática
Injeção direta
Alguém com acesso ao canal de entrada do agente escreve a instrução maliciosa. Um formulário de lead, uma mensagem no WhatsApp, um campo de nome. Barato de tentar, fácil de detectar depois do estrago.
Injeção indireta
A instrução fica escondida num conteúdo que o agente vai buscar sozinho: uma página de concorrente que ele foi analisar, um review, um documento compartilhado, um relatório externo. Foi assim no caso batizado de GrafanaGhost, divulgado em 7 de abril de 2026, em que uma injeção indireta forçou exfiltração de dado corporativo por um caminho de renderização externa. O usuário não digitou nada. O agente foi buscar.
A defesa não cabe no prompt. Pedir para o agente ignorar instruções que venham dentro de conteúdo ajuda pouco, porque o mesmo mecanismo que faz o modelo obedecer a você faz ele obedecer ao texto. O controle precisa estar na camada de permissão, fora do modelo.
Os incidentes de 2026 já saíram do laboratório
O OWASP publicou em abril um round-up dos exploits do primeiro trimestre de 2026, cobrindo de 1º de janeiro a 11 de abril. São oito incidentes documentados, com nome, data e efeito. A mudança de tom entre a edição de 2025 e a de 2026 do relatório principal diz muito: a versão anterior catalogava ameaça plausível, a atual cataloga CVE, aviso de fornecedor e relato de brecha.
Fontes: OWASP GenAI Security Project, Exploit Round-up Q1 2026, e State of Agentic AI Security and Governance v2.01, via Help Net Security, 11/06/2026. O dado de política de detecção é da IBM, citado no relatório. A falha do Flowise afetou uma faixa estimada de 12 mil a 15 mil instâncias.
Três casos do trimestre valem a leitura de quem monta operação.
Credencial larga demais
No caso apelidado de Double Agent, divulgado entre 31 de março e 1º de abril, um agente malicioso usou credencial de serviço superprivilegiada para extrair dado e alcançar recurso protegido. A falha não estava no modelo. Estava na permissão que alguém deu ao agente por conveniência.
Agente que ignora o freio
Em 23 de fevereiro, um agente de caixa de entrada seguiu apagando e-mails depois que o usuário mandou parar. Em 2025, um assistente de código já tinha apagado um banco de produção sem nenhum atacante envolvido. Autonomia sem botão de parada testado é uma aposta.
A cadeia de dependência
Em março, o pacote LiteLLM ficou com backdoor no PyPI por três horas e acumulou cerca de 47 mil downloads na janela. Ele é o gateway de modelo de vários frameworks de agente. Você pode ter feito tudo certo na sua ponta e ainda assim herdar o problema de uma biblioteca.
Onde isso encosta na sua operação de marketing
Segurança de agentes de IA soa distante enquanto o assunto fica em CVE e cadeia de suprimentos. Fica concreto quando você traduz para as tarefas que a gente automatiza todo dia. Quatro exemplos que saem direto da rotina de uma operação de conteúdo e mídia:
- Agente de relatório com acesso à conta de anúncio. Ele lê comentários e reviews para montar leitura qualitativa. Um comentário plantado pode carregar instrução. Se o mesmo agente tem escrita na conta, a instrução chega perto do orçamento.
- Agente de qualificação de lead. Ele lê o campo aberto do formulário e decide o roteamento. Esse campo é entrada não confiável por definição, e costuma ser o menos validado do site inteiro.
- Agente de pesquisa de concorrência. Ele visita páginas que você não controla. Cada página visitada é uma superfície de injeção indireta.
- Agente com acesso à base de contatos. Aqui o risco encosta em dado pessoal, e o assunto deixa de ser só técnico. Vale revisar junto o que a gente escreveu sobre LGPD e IA no marketing, porque vazamento causado por agente continua sendo incidente de tratamento de dado.
Nenhum desses cenários exige atacante genial. Exige apenas que alguém tenha entendido que o seu agente lê aquele campo.
Cinco controles antes de entregar a chave pro agente
Esses são os controles que a gente aplica na operação que roda pra cliente. Nenhum é caro. O que custa é lembrar de aplicar antes, e não depois do primeiro susto.
1. Privilégio mínimo por tarefa
Comece todo agente em leitura. Escrita entra quando a tarefa específica exigir, e só no escopo dela. Um agente que monta relatório não precisa de permissão para criar campanha. Repare que Snap e Microsoft lançaram os servidores MCP em leitura por decisão de projeto, enquanto a Meta liberou escrita completa no primeiro dia. A postura padrão da plataforma vira a sua postura padrão se você não intervier.
2. Credencial própria por agente
Cada agente com identidade separada, nunca a sua conta de admin compartilhada. Isso resolve três problemas de uma vez: dá para revogar um agente sem derrubar os outros, dá para ler no log quem fez o quê, e dá para manter níveis diferentes de acesso entre agentes que olham a mesma conta.
3. Aprovação humana no que gasta, publica ou apaga
Defina a lista de ações irreversíveis e coloque uma pessoa no caminho delas. Subir criativo, alterar orçamento, disparar e-mail, apagar registro. O resto pode correr sozinho. Vallaeys chama esse desenho de sanduíche de segurança: humano define o objetivo, a IA executa, humano revisa antes de ir pro ar.
4. Fronteira explícita entre conteúdo e comando
Trate todo texto que o agente busca fora como dado, nunca como ordem. Na prática: separe a etapa que lê da etapa que age, valide a saída antes de virar chamada de ferramenta, e desconfie de qualquer resultado que peça uma ação que você não pediu.
5. Log, monitoramento e revisão em cadência
Registre toda chamada de ferramenta com agente, horário e parâmetro. Depois marque uma revisão recorrente. A pesquisa da Gravitee mostrou cobertura média de monitoramento em 52%, e esse é o número de quem já tem time de plataforma. Sem log, você descobre o incidente pela fatura.
Esses cinco controles formam a camada de segurança de uma discussão maior de arquitetura. Se você ainda está desenhando como os agentes se dividem e conversam, o ponto de partida está no nosso guia de arquitetura de agentes pra marketing.
O erro de tratar isso como assunto de TI
O dado mais revelador da pesquisa é o de 7,2% com responsável formalmente nomeado. Ele mostra um vácuo de dono. Tecnologia acha que a conta de anúncio pertence ao marketing. Marketing acha que segurança pertence à tecnologia. O agente fica no meio, com acesso de escrita e sem tutor.
Na prática, quem tem mais a perder é quem opera. É a sua conta que gasta, a sua lista que vaza, a sua marca que publica. Segurança de agentes de IA entra na mesma prateleira em que a gente já colocou a discussão de governança de agentes no marketing: alguém precisa assinar embaixo, com nome.
Vale também amarrar isso ao teste de qualidade. Um agente que passa no critério de resultado e reprova no critério de segurança continua reprovado. Sobre o lado da qualidade, a gente escreveu o método em avaliação de agentes de IA, e ele funciona melhor rodando junto com o checklist de permissão.
Por onde começar essa semana
Se você já tem agente ligado em alguma ferramenta real, três passos cabem em uma tarde:
- Faça o inventário. Liste todo agente ativo, a ferramenta que ele acessa e se o acesso é de leitura ou de escrita. A maioria das operações descobre aqui pelo menos um acesso que ninguém lembrava de ter dado.
- Rebaixe o que dá pra rebaixar. Todo agente que não precisa escrever volta pra leitura hoje.
- Escolha o dono. Uma pessoa, com nome, responsável por revisar essa lista todo mês.
Nada disso trava a operação. A gente roda agente com acesso a mídia, conteúdo e publicação exatamente porque esses limites existem antes. Autonomia sustentável vem de fronteira clara.
Se você quer um olhar de fora no desenho da sua operação com IA, incluindo o que os seus agentes podem fazer hoje sem pedir licença, fale com a gente e a gente faz esse diagnóstico junto.