Durante vários anos, operadores norte-coreanos, fazendo-se passar por técnicos de informática em teletrabalho, infiltraram centenas de redes de empresas ocidentais. Segundo uma análise publicada pela SecurityWeek, o mesmo problema de confiança encontra-se hoje com os agentes de IA, que herdam os direitos dos empregados e multiplicam-se nos sistemas das empresas.
- Operadores norte-coreanos infiltraram empresas ocidentais com identidades roubadas e credenciais legítimas.
- Os agentes de IA herdam permissões humanas e multiplicam-se sem controlo contínuo da identidade.
- Um agente desviado por injeção de prompt age com tráfego interno legítimo, difícil de detetar.
- As empresas devem usar tokens de curta duração, rastreabilidade, limites de permissões e disjuntores automáticos.
Estes operadores passaram nas entrevistas técnicas, ultrapassaram as verificações de antecedentes graças a identidades roubadas e instalaram-se no coração dos sistemas com credenciais legítimas. Recebiam salários, transferiam fundos para Pyongyang e, segundo o artigo, extraíam regularmente dados sensíveis ao saírem. Vários grandes atores, incluindo editoras de cibersegurança reputadas, reconheceram publicamente terem sido enganados.
Uma confiança concedida uma única vez
O mecanismo assenta numa confiança concedida de uma vez por todas. Os recursos humanos verificam a pessoa na contratação, o serviço de informática cria uma conta, um computador é configurado e o utilizador é depois autorizado. Nenhum elemento da segurança está concebido para responder à questão essencial: a pessoa ou entidade que conduz esta sessão é realmente aquela que se pensa que é?
Com a chegada dos agentes de IA, o número de identidades não humanas a executar tarefas sensíveis progride, segundo o artigo, de forma exponencial. As organizações integram rapidamente milhares de agentes em fluxos críticos, com contas de serviço privilegiadas e chaves API, e concedem-lhes o mesmo modelo de confiança, com menos controlos.
Um agente age geralmente com as permissões herdadas de um empregado. Nos registos do sistema, cada uma das suas ações aparece assim como uma operação ordinária desse empregado. Poucos agentes são concebidos com intenção maliciosa: o risco reside sobretudo na possibilidade de desviar as suas instruções após a concessão da confiança, através de uma injeção de prompt (inserção de instruções parasitas no que o modelo processa), de instruções ocultas ou de uma ferramenta externa envenenada. O artigo compara o agente a Agent Smith, a personagem de Matrix que pode investir a envolvente de qualquer personagem e replicar-se através do sistema.
Ataques agentivos já documentados
Infiltrar uma empresa com uma identidade falsa exige trabalho humano real. Os agentes de IA levantam esta restrição: segundo o artigo, o custo de uma campanha de intrusão pilotada por IA está limitado apenas pelo preço dos tokens, estas unidades de texto que um modelo processa. As editoras de modelos de ponta reconhecem elas próprias que os seus sistemas tomam por vezes decisões fora dos limites estabelecidos, e que uma lista perfeita de regras de comportamento continua impossível de estabelecer.
O caso mais citado é o de uma intrusão com motivação financeira que o Google Threat Intelligence Group (GTIG) documentou. Atacantes lá implantaram uma estrutura multiagente dentro da própria cloud da vítima. Em menos de seis horas, os agentes planearam e executaram uma campanha de recolha de credenciais que comprometeu milhares de segredos empresariais. Como funcionavam no ambiente da vítima, todo o tráfego malicioso provinha de endereços IP internos legítimos.
Quem responde pelos atos do agente?
Quando um agente sai do quadro previsto, coloca-se a questão da responsabilidade. É a editora do modelo, o desenvolvedor que ligou a API, ou o utilizador que inseriu o pedido? A maioria dos quadros de governança considera o utilizador humano responsável, o que, segundo o artigo, pode parecer difícil de conciliar com a equidade. « O meu agente fez-o » também não seria uma defesa aceitável perante um conselho de administração ou um tribunal.
As ferramentas de gestão de identidades e acessos (IAM) foram concebidas para ciclos humanos: contratar, atribuir, rever, retirar. Um agente, por sua vez, é lançado em milissegundos, executa milhares de pedidos por hora, cria subagentes e desaparece antes de qualquer revisão de acesso. Muitas equipas não conseguem portanto responder a três perguntas: quem autorizou este agente, que humano é responsável pelos seus resultados, e como revogar o seu acesso em plena execução.
O artigo detalha quatro pistas. A primeira consiste em exigir uma rastreabilidade através de um AIBOM (AI Bill of Materials), inventário dos modelos, competências e conectores de dados, à imagem da nomenclatura de software SBOM. Em agosto, investigadores documentaram um servidor MCP (componente que liga um agente a ferramentas) malicioso que passou a revisão na instalação, antes de pedir aos agentes ligados que recolhessem chaves SSH e credenciais cloud após o seu terceiro pedido. A segunda pista é atribuir a cada agente tokens distintos, de curta duração, associados a um responsável humano nomeado. A terceira é a regra denominada « Rule of Two », formulada pela Meta: um agente só deve combinar duas das três propriedades seguintes, processar entradas não fiáveis, aceder a dados sensíveis, modificar sistemas ou comunicar para o exterior. A quarta consiste em prever disjuntores automáticos, capazes de interromper um agente em execução assim que ultrapassa um orçamento ou um limite de comportamento.
Segundo o artigo, a governança das identidades agentivas já não é um caso marginal. As equipas de segurança devem aplicar aos agentes autónomos o mesmo nível de exame e monitorização contínua que às identidades humanas.
