Seu agente de IA tem acesso ao terminal. E agora?

Passamos os últimos anos aprendendo a não confiar em entrada de usuário. Validar, escapar, parametrizar consulta, tratar tudo que vem de fora como hostil até prova em contrário. Aí chegaram os agentes de IA e nós, com o maior sorriso do mundo, entregamos a eles um terminal, uma chave de API e permissão de escrita no repositório.

Não estou dizendo para não usar. Eu uso, e ganho tempo com isso. Estou dizendo para olhar de frente o que a gente acabou de instalar na rede.

O problema que ninguém resolveu

Injeção de prompt é a vulnerabilidade número um em aplicações com LLM, e continua sendo por um motivo incômodo: ela não tem correção definitiva. Não é bug de implementação que você conserta com um patch. É uma consequência direta de como o modelo funciona.

O modelo recebe um monte de texto e decide o que fazer. Ele não tem um canal separado para “instrução do dono” e outro para “conteúdo que eu estou apenas lendo”. Está tudo no mesmo balde. Se o agente lê um chamado, uma página web, um README ou um e-mail que contém a frase certa, essa frase disputa atenção com as suas instruções em pé de igualdade.

E não é teoria da conspiração. Um levantamento da OWASP sobre incidentes com IA agêntica aponta que injeção de prompt aparece ligada a 6 das 10 categorias do Top 10 de aplicações agênticas. Ela é a junta universal que conecta a maioria dos incidentes reais.

O agravante é que agora existe cadeia de suprimentos no meio. Quando o pacote LiteLLM foi comprometido, foram cerca de 47 mil downloads numa janela de três horas. Três horas. O tempo do seu cafezinho e da sua reunião de alinhamento.

A trinca letal

A melhor régua mental que eu conheço para isso é a “lethal trifecta”, do Simon Willison. São três propriedades:

1. O agente tem acesso a dados privados (seu banco, seu e-mail, seu repositório).
2. O agente é exposto a conteúdo não confiável (uma página, um ticket, um PDF que chegou por e-mail).
3. O agente consegue se comunicar para fora (fazer requisição HTTP, enviar mensagem, abrir pull request).

Cada uma isolada é inofensiva. As três juntas formam um caminho completo de exfiltração: o conteúdo hostil manda o agente ler o dado sensível e enviar para um endereço qualquer. O agente obedece, porque obedecer é literalmente o trabalho dele.

A Meta transformou isso numa regra prática ainda mais direta, a “Agents Rule of Two”: um agente que roda sem aprovação humana pode satisfazer no máximo duas dessas três propriedades. Quer as três? Então tem gente no meio aprovando.

É simples, cabe num post-it e resolve mais do que a maioria dos frameworks de governança que eu vi apresentados em slide.

O que dá para fazer na prática

Não existe filtro mágico que detecte injeção com confiabilidade. O que existe é arquitetura que limita o estrago.

Rode o agente isolado. Container descartável, usuário sem privilégio, sistema de arquivos montado só onde precisa. Se o agente for convencido a rodar algo idiota, que o idiota aconteça numa caixa que você joga fora.

Corte a saída de rede por padrão. Essa é a que mais dói e a que mais protege. Sem canal de saída, a trinca não fecha. Libere destino por destino, não o contrário.

Credencial de escopo mínimo e vida curta. Nada de token de administrador no ambiente do agente. Se ele só precisa ler um repositório, é isso que ele recebe. Token que vence em uma hora vale mais que política escrita em documento de 40 páginas.

Aprovação humana onde é irreversível. git push --force, DROP, rm -rf, envio de e-mail para cliente, alteração em produção. Tudo isso pede um “sim” digitado por gente.

Registre tudo. Prompt de entrada, ferramenta chamada, argumento passado, resultado. Sem esse log, investigar um incidente com agente é adivinhação pura.

Fica o conselho

Trate o agente de IA como você trataria um estagiário muito rápido, muito confiante e completamente incapaz de desconfiar de alguém. Você não daria a ele a senha do banco de produção e mandaria “usa o bom senso”. Daria acesso ao que ele precisa, revisaria o que é perigoso e olharia o histórico no fim do dia.

A produtividade é real. O risco também. As duas coisas convive, desde que o desenho do ambiente assuma, desde o primeiro dia, que o agente vai ser enganado em algum momento. Porque vai.

———

Ahh, e antes que eu me esqueça, quem não tiver pecado que atire a primeira pedra kkkkkcry.