A Redbelt Security publicou um relatório que chama atenção para um dos principais desafios de segurança na adoção da inteligência artificial agêntica pelas empresas. Segundo a consultoria, a maior parte das organizações ainda concentra a análise de riscos no modelo de linguagem, quando a principal superfície de ataque está no programa responsável por executar as ações geradas por ele.
De acordo com o estudo, divulgado em julho de 2026, o modelo de linguagem apenas gera instruções em texto. A execução dessas instruções é realizada por um componente conhecido como harness, responsável por converter comandos em ações no hardware, acessar arquivos, utilizar a rede e interagir com outros sistemas.
Para a Redbelt Security, compreender essa separação é essencial para construir estratégias eficazes de proteção em ambientes que utilizam agentes de IA.
Harness define o nível de exposição
O relatório destaca que o mesmo modelo de linguagem pode apresentar níveis de risco completamente diferentes dependendo do harness utilizado.
Como exemplo, a consultoria cita o Claude Code CLI, no qual o agente opera diretamente na máquina do desenvolvedor, com acesso a variáveis de ambiente, chaves e rede. Já no Cowork, a execução ocorre em um ambiente Linux isolado, com acesso restrito à internet por listas de permissão. Em aplicações baseadas apenas em chat, sem recursos agênticos, não existe superfície de execução, reduzindo significativamente a exposição.
Segundo a empresa, essa diferença ainda não faz parte dos critérios de avaliação da maioria das organizações que adotam inteligência artificial.
O estudo também destaca a evolução da IA agêntica em projetos de grande escala. Entre os exemplos apresentados está um sistema multiagente divulgado pela Anthropic em junho de 2025, no qual diversos agentes trabalharam simultaneamente para desenvolver um compilador da linguagem C com cerca de 100 mil linhas de código ao longo de milhares de sessões. Para a Redbelt, quanto maior a autonomia dos agentes, maior também a necessidade de mecanismos de controle sobre sua execução.
“Todo sistema é uma máquina com ENTRADA, PROCESSAMENTO e SAÍDA. Se você controla o que entra e revisa o que sai, você controla a máquina. O erro que as empresas cometem é tratar o agente como um gênio da lâmpada: é só pedir e torcer. O jeito certo é desenhar um workflow com passos modulares, travas explícitas, entrada sanitizada em cada fronteira de confiança, saída revisada e menor privilégio”, afirma Wagner Farias, Head de engenharia de ameaças da Redbelt Security.
Hooks reforçam o controle da execução
Como alternativa para reduzir os riscos, o relatório recomenda o uso de hooks, pequenos programas executados pelo próprio harness em etapas específicas do ciclo de funcionamento do agente.
Segundo a Redbelt, diferentemente das instruções enviadas ao modelo em linguagem natural, que possuem comportamento probabilístico, os hooks funcionam de maneira determinística. Eles podem bloquear comandos antes da execução, validar entradas e revisar as saídas produzidas pelo agente, aplicando princípios tradicionais de segurança da informação ao ambiente de IA.
“Os hooks não tornam o ataque impossível, mas nos possibilita tomarmos cuidados em pontos de checagem afim de termos certas garantias. É precisamente a mudança que a segurança exige: sair do talvez para o sempre.”, ressalta o executivo.
Plugins ampliam funcionalidades e também os riscos
Outro ponto abordado pelo relatório é o uso de plugins e skills de terceiros, que permitem ampliar as capacidades dos agentes de IA por meio da integração com serviços externos e sistemas corporativos.
Segundo a consultoria, instalar esse tipo de recurso representa um risco semelhante ao da instalação de qualquer software externo em um ambiente corporativo. A recomendação é que as empresas avaliem não apenas a procedência da ferramenta, mas também possíveis instruções ocultas em prompts, scripts capazes de baixar e executar código automaticamente e conexões com domínios que não façam parte da operação esperada.
O relatório também alerta que a injeção de prompts continua sendo o principal vetor de ataque contra agentes de IA e, diferentemente do SQL Injection, ainda não existe uma solução definitiva para eliminar esse tipo de vulnerabilidade. Enquanto isso, a mitigação depende da combinação de mecanismos como hooks, listas de permissão para acesso à rede, aplicação do princípio do menor privilégio e definição de fluxos de trabalho com fronteiras de confiança bem estabelecidas.
“Segurança é responsabilidade do dono do dado, não da ferramenta”, conclui Farias.
