A inteligência artificial se incorporou rapidamente à rotina das pequenas e médias empresas (PMEs). Muitas já foram além dos chatbots e começaram a delegar tarefas a agentes de IA, na esperança de ganhar vantagem sobre concorrentes com recursos igualmente limitados e de nivelar o jogo com as grandes companhias. Na prática, as organizações mais ambiciosas já estão implementando, ou pelo menos testando, "linhas de montagem" multiagente, nas quais um agente supervisor coordena grupos de agentes especializados e distribui o trabalho entre eles.

Mas a IA muda mais do que a forma de trabalhar. Cada novo acesso e cada nova conexão criam dependências para a empresa, e cada uma delas representa um possível risco de cibersegurança. Só que as PMEs raramente têm recursos sobrando, principalmente na área de TI. A segurança da informação, em especial, costuma ser apenas uma das muitas responsabilidades de uma pessoa ou de uma equipe enxuta que precisa dar conta de tudo, desde a gestão de contas até as consequências de vulnerabilidades de zero-day.

Ainda assim, poucas empresas estão dispostas a recuar na adoção de IA até que todos os riscos sejam identificados e mitigados. Menos ainda sabem por quais vulnerabilidades começar. Uma pesquisa global recente da ESET, feita com 4.400 tomadores de decisão em PMEs, mostrou que 40% das organizações nem sequer tinham uma política de uso de IA. Essas políticas eram mais comuns em empresas que já haviam sofrido algum incidente, o que reflete um padrão conhecido: a governança costuma chegar depois de uma violação de segurança.

De modo geral, os riscos de segurança atuais se expandem em duas direções principais: a IA cria novas portas de entrada para os sistemas corporativos e torna as ameaças tradicionais mais rápidas e escaláveis.

Agentes de IA, agentes duplos e agentes fora de controle

Seja qual for a sua função, cada agente conectado aos sistemas corporativos pode agir por meio das permissões concedidas pelo seu "proprietário". Quando um agente tem acesso a documentos internos e capacidade de se comunicar com o meio externo, qualquer elemento que influencie as suas instruções também pode influenciar o uso que ele faz dessas permissões.

Um chatbot pode gerar uma resposta errada, mas um agente com acesso a dados e ferramentas pode executar uma ação equivocada e potencialmente cara. Em ambientes multiagente, uma saída manipulada pode passar para o próximo elo da cadeia e provocar um efeito cascata, cuja causa raiz é difícil de identificar.

Claro que alguns dos riscos ligados aos agentes de IA têm origens conhecidas: a cadeia de suprimentos de um agente pode ser comprometida, e as permissões dele podem ser usadas de forma indevida. Um bom exemplo são as skills, conjuntos de instruções empacotadas que dizem a um agente quais ações realizar e quais ferramentas usar. Entre março e maio de 2026, os sistemas da ESET analisaram cerca de 900 mil skills únicas de repositórios populares. Mais de 25 mil foram consideradas suspeitas e mais de 3 mil eram diretamente maliciosas, facilitando roubo de credenciais, exfiltração de dados e execução remota de código.

Figura 1. Instruções de uma skill que se modifica sozinha e pode provocar comportamentos imprevisíveis e explorações (fonte: ESET Threat Report H1 2026).

Não é possível saber com precisão quantas dessas skills foram instaladas no mundo, mas a análise mostra a rapidez com que uma cadeia de suprimentos pouco controlada cresceu em torno da IA agêntica. O ecossistema de skills não tem mecanismos de revisão comparáveis aos de uma loja de aplicativos, e uma verificação pontual antes da instalação também não basta.

As skills e as conexões com ferramentas, incluindo as que usam servidores MCP, continuam sendo dependências ativas mesmo depois de uma revisão inicial, já que suas instruções e os serviços associados podem mudar a qualquer momento. O resultado pode ser um rug pull, em que uma ferramenta que a princípio funciona como esperado acaba se transformando, por exemplo, em um ladrão de informações (infostealer).

Dificilmente uma equipe de TI enxuta revisa cada uma dessas dependências antes de instalá-las, e menos ainda continua monitorando depois. Na verdade, ela pode nem saber que um funcionário conectou a um agente uma skill aparentemente útil, sem perceber que ela pode, por exemplo, ler uma unidade compartilhada e se comunicar com serviços de terceiros. Também não convém confiar cegamente nas descrições das skills: com frequência demais, elas não fazem exatamente o que prometem.

Quando o problema está nos modelos

Outras vias de ataque são criadas pelos próprios modelos de linguagem (LLMs). Esses modelos são conhecidos por suas alucinações, e muitas delas podem ter consequências sérias, já que abrem um novo caminho entre a linguagem natural e a execução de ações, inclusive rumo a recursos controlados por atacantes. Por exemplo, os LLMs costumam inventar nomes de bibliotecas de software e domínios web com frequência suficiente para que cibercriminosos os registrem e fiquem esperando que um desenvolvedor ou um agente de programação os utilize.

Os agentes também podem sofrer de desalinhamento agêntico (agentic misalignment), insistindo teimosamente em uma tarefa mesmo que isso signifique, por exemplo, tentar invadir os sistemas de outra empresa. Além disso, os cibercriminosos podem inserir dados maliciosos na memória de longo prazo de um agente, onde eles ficam latentes até serem recuperados para cometer fraudes ou outras ações maliciosas. E novas ameaças continuam surgindo o tempo todo, seja como provas de conceito, seja como ataques detectados em ambientes reais.

No entanto, talvez a ameaça mais comum e, ao mesmo tempo, mais insidiosa tenha como alvo as instruções recebidas pelo modelo. Os LLMs não conseguem distinguir de forma confiável entre instruções legítimas e privilegiadas e dados externos não confiáveis. Para eles, tudo não passa de uma sequência de tokens.

Isso deixa os agentes especialmente expostos a ataques de prompt injection indireta, nos quais um atacante esconde instruções maliciosas dentro de uma página web, de um e-mail ou de outro recurso que o agente é orientado a consultar. A vulnerabilidade EchoLeak no Microsoft 365 Copilot demonstrou o risco de exposição de dados sem que o usuário precisasse clicar em um link malicioso.

Além disso, uma competição de red teaming em larga escala realizada recentemente encontrou pelo menos um ataque de sequestro bem-sucedido contra cada um dos 13 modelos de fronteira avaliados. Não é de surpreender que a injeção de prompts ocupe sistematicamente o primeiro lugar na lista dos riscos mais críticos para aplicações baseadas em LLMs elaborada pela OWASP.

Dando nova vida a ataques já conhecidos

As ameaças específicas da IA não substituíram os caminhos tradicionais que levam aos ativos mais valiosos das empresas. Phishing, software vulnerável, credenciais roubadas e serviços remotos expostos continuam no centro de muitos incidentes.

O ESET SMB Cyber Readiness Index 2026 aponta o phishing e a exploração de vulnerabilidades conhecidas como as duas causas mais frequentes de ataques de segurança. A velocidade com que as falhas são exploradas deixa os defensores com pouca ou nenhuma margem para aplicar patches ou medidas de mitigação: cerca de um quarto das quase 500 vulnerabilidades conhecidas exploradas no primeiro semestre de 2026 foi aproveitado no mesmo dia, ou até antes, de se tornarem públicas.

O phishing e outras ameaças de engenharia social também seguem evoluindo, tanto na forma quanto nos métodos de distribuição, e com sucesso notável. Segundo a Microsoft, os e-mails de phishing automatizados por IA alcançam uma taxa de cliques de 54%, contra 12% das tentativas tradicionais.

Enquanto isso, o phishing por QR code continua crescendo, e o ClickFix, uma ameaça cada vez mais disseminada em que uma falsa mensagem de erro convence a vítima a colar um comando no próprio terminal, agora costuma se apresentar como suposta solução para problemas relacionados à IA. Além disso, ele se aproveita dos recursos públicos de compartilhamento de serviços populares de IA para hospedar instruções maliciosas.

Figura 2. Página web que abusa do domínio Artifact Pages da Anthropic para distribuir falsas instruções de correção relacionadas à IA (ESET Threat Report H1 2026).

Muitas campanhas de phishing atuais são desenhadas para driblar as verificações que os funcionários aprenderam a fazer. A IA permite gerar iscas personalizadas de forma rápida, em massa e a baixo custo, enquanto os kits de phishing-as-a-service fornecem toda a infraestrutura necessária para capturar credenciais. Os cibercriminosos também procuram reduzir a fricção e se misturar à rotina de trabalho, abordando os funcionários quando as sessões deles já estão autenticadas.

O ransomware, que há anos atinge as PMEs de forma desproporcional, agora opera em maior volume, embora com ganhos menores por vítima. Os atacantes também miram cada vez mais as próprias tecnologias criadas para detê-los. A ESET documentou mais de 100 ferramentas desenvolvidas para desativar soluções de detecção e resposta em endpoints (EDR), a maioria pelo abuso de drivers vulneráveis, e novas variantes continuam surgindo.

A IA também começa a aparecer no malware, embora os exemplos detectados até agora ainda sejam relativamente iniciais ou experimentais. Pesquisadores da ESET documentaram o PromptLock, uma prova de conceito considerada o primeiro ransomware movido a IA conhecido, e o PromptSpy, o primeiro malware para Android identificado que usa IA generativa em seu fluxo de execução.

Desde então surgiram outros exemplos de destaque, mas a principal contribuição da IA para o cibercrime continua sendo, em grande parte, acelerar processos conduzidos por pessoas, e não viabilizar malware totalmente autônomo. Menos tempo de reconhecimento, engenharia social mais eficaz, malware genérico mais barato e adaptação mais rápida permitem que os atacantes consigam mais com menos recursos.

Como reforçar a segurança na era dos agentes de IA

As equipes enxutas têm um desafio importante pela frente. Contratar especialistas suficientes para cobrir todas as necessidades de segurança raramente é uma opção viável para uma PME. Não por acaso, o maior estudo global sobre a força de trabalho em cibersegurança deixou de divulgar um déficit global de profissionais e agora dá ênfase às lacunas de habilidades como melhor indicador da escassez de talentos. A segurança em IA lidera essa lista atualmente. Como em qualquer estratégia de segurança, o primeiro passo é a visibilidade: saber quais agentes e serviços de IA estão em funcionamento, quem os conectou e quais ações eles podem executar de acordo com suas permissões.

Isso aponta para a tríade crítica da segurança dos agentes de IA:

  • Acesso a dados sensíveis.
  • Exposição a informações vindas de fora da organização.
  • Permissão para se comunicar ou agir fora da empresa.

Um agente que consegue ler uma unidade compartilhada, processar e-mails recebidos e enviar mensagens reúne as três capacidades. Eliminar qualquer um desses elementos reduz consideravelmente o nível de risco. Os sistemas autônomos e semiautônomos precisam de limites definidos por tarefa e por tempo, além de supervisão para detectar comportamentos inesperados. Proteger um agente e tudo o que ele pode fazer exige olhar além do modelo em si: é preciso considerar a identidade dele, as informações que consome, as ferramentas às quais tem acesso e os controles que governam e restringem suas ações.

Por outro lado, a TI paralela (shadow IT) há anos é um ponto cego para muitas organizações. Agora, a IA paralela (shadow AI), ou seja, o uso não autorizado de ferramentas de IA pelos funcionários, traz uma nova complicação. O risco já não se limita a compartilhar informações sensíveis com um chatbot: uma ferramenta com permissões excessivas pode executar ações em uma escala que o próprio funcionário jamais alcançaria.

Com a equipe e as horas disponíveis, muitas empresas não têm os recursos necessários para gerenciar a segurança de ponta a ponta: implementar, configurar, monitorar, interpretar, investigar e responder. E, embora possa ser tentador, eliminar totalmente o fator humano por meio da automação também traz riscos.

A automação funciona bem para decisões repetitivas, mas é menos eficaz diante de situações ambíguas ou complexas, especialmente quando um erro automatizado vira a entrada do próximo processo automatizado. No fim das contas, alguém precisa avaliar o contexto geral para determinar se um comportamento incomum é obra de um invasor ou apenas uma falha técnica.

Um serviço de detecção e resposta gerenciada (MDR) usa automação avançada para analisar um volume maior de atividades, mas, ao mesmo tempo, encaminha os comportamentos suspeitos para especialistas avaliarem.

Hoje, um serviço desse tipo também precisa incorporar recursos avançados de segurança baseados em IA e monitorar o que os agentes consomem ou utilizam, sejam arquivos, serviços externos, repositórios, skills ou plugins, além de controlar o que eles fazem com esses recursos depois de entrarem em operação. Quando os funcionários usam chatbots conversacionais, ele também deve verificar que conteúdo é enviado a eles e emitir alertas sobre conteúdo malicioso ou de risco nas respostas recebidas.

Além disso, deve detectar atividades que costumam vir depois de uma invasão, como comandos suspeitos, movimentação lateral, roubo de dados e implantação de ransomware.

E, ainda assim, nada disso obriga as empresas a montar o próprio centro de operações de segurança (SOC) nem a contratar habilidades que claramente escasseiam no mercado. O serviço já chega operacional, com a IA ajudando a absorver parte da carga de trabalho e com especialistas disponíveis para tomar as decisões críticas.

Para uma empresa com uma equipe de TI pequena, provavelmente essa é a única versão de um serviço de segurança que realmente se encaixa na rotina do dia a dia.