Agentic AI: quando a IA começa a agir

Ano passado, IA era sinônimo de abrir o ChatGPT e escrever um prompt melhor que o do colega. Hoje já não é bem assim. A mesma tecnologia que gerava texto e imagem começou a ganhar mãos: acessa sistema, chama API, toma decisão, executa ação, sem alguém confirmando cada passo. Isso muda o que significa proteger um ambiente que usa IA, e é sobre essa mudança que eu quero falar aqui.

Não vou transformar esse texto numa aula de Inteligência Artificial. O objetivo é te dar o mapa: os conceitos que você precisa reconhecer pra entender por que Agentic AI virou pauta de Cibersegurança, e não só de produto.

Como chegamos até aqui

Esses termos aparecem juntos o tempo todo, e vale entender como se relacionam, sem tratar isso como uma escada rígida onde um substitui o outro.

Inteligência Artificial é o campo amplo: sistemas que executam tarefas que, de outra forma, exigiriam raciocínio humano. Machine Learning é uma abordagem dentro desse campo, onde o sistema aprende padrão a partir de dado, em vez de seguir regra escrita à mão. Deep Learning é um tipo de Machine Learning baseado em redes neurais com várias camadas, o que permitiu o salto de qualidade que vimos na última década.

Daí vem a IA Generativa: modelos treinados pra produzir conteúdo novo, texto, imagem, código, áudio, em vez de só classificar ou prever um número. Isso costuma partir de um Foundation Model, um modelo enorme treinado numa quantidade gigante de dado, que depois serve de base pra várias aplicações diferentes. Quando esse foundation model é especializado em texto e linguagem, chamamos de Large Language Model, o LLM que virou nome familiar com o ChatGPT.

O passo seguinte foi a IA multimodal: o mesmo modelo lidando com texto, imagem, áudio e vídeo ao mesmo tempo, sem precisar de um sistema separado pra cada tipo de dado. E é a partir daí que chegamos aos agentes de IA e ao que hoje se chama Agentic AI, o assunto central deste artigo.

Por dentro de um LLM: o que evita que você se engane

Antes de falar de agente, vale alinhar alguns conceitos de LLM que aparecem o tempo todo e que muita gente usa sem entender.

Token é a unidade de texto que o modelo processa, às vezes uma palavra inteira, às vezes um pedaço dela. Prompt é a instrução que você dá. System prompt é uma instrução de mais alto nível, definida por quem construiu a aplicação, que molda como o modelo deve se comportar antes mesmo de você digitar qualquer coisa. Context window é o limite de quanto texto o modelo consegue considerar de uma vez, incluindo prompt, histórico de conversa e qualquer documento anexado.

Inferência é o processo de o modelo gerar uma resposta a partir do que foi treinado. Temperatura é um parâmetro que controla o quanto essa resposta varia: temperatura baixa deixa a saída mais previsível, temperatura alta deixa mais criativa e também mais instável.

E aqui vai o ponto que mais gera confusão: um LLM não é uma base de conhecimento. Ele não “sabe” fatos guardados num banco de dados que consulta. Ele prevê a sequência de texto mais provável, com base em padrão estatístico aprendido no treino. Isso produz respostas fluentes e convincentes que, às vezes, estão erradas do início ao fim: as famosas alucinações. Resposta bem escrita não é sinônimo de resposta correta, e essa distinção é fundamental antes de dar qualquer autonomia pra esse modelo agir sozinho.

RAG: dando contexto real pro modelo

Uma forma de reduzir alucinação e trazer informação atualizada é o RAG, Retrieval-Augmented Generation. A ideia central: em vez de depender só do que o modelo aprendeu no treino, o sistema busca informação relevante numa fonte externa, documento, base interna, artigo, e injeta esse conteúdo no contexto antes de gerar a resposta.

Pra essa busca funcionar, o texto é convertido em embeddings, uma representação numérica que captura o significado do conteúdo, e guardado num vector database, um banco otimizado pra encontrar informação com significado parecido ao da pergunta feita. O modelo então combina esse contexto recuperado com sua própria capacidade de gerar linguagem, produzindo uma resposta ancorada em dado real, não só em memória de treino.

Não vou entrar em como implementar isso. O que importa aqui é o conceito: dado externo entrando no contexto do modelo antes da resposta. Guarde essa ideia, porque ela vai ser central quando falarmos de risco.

De gerar pra agir: o que é um agente de IA

Essa é a virada do artigo. A diferença é simples de enunciar, e enorme na prática:

IA Generativa responde a um pedido do tipo “gere algo pra mim”. Um agente responde a um pedido do tipo “execute uma tarefa pra mim”. E Agentic AI vai além: entende um objetivo, decide as etapas necessárias, usa ferramentas, toma decisão ao longo do caminho e executa ação pra atingir esse objetivo, com pouca ou nenhuma intervenção humana em cada passo.

Um agente costuma combinar várias peças: um modelo de linguagem no centro, ferramentas (tools) que ele pode chamar, APIs que conectam a sistemas externos, memória pra lembrar contexto entre interações, capacidade de planejamento pra quebrar um objetivo em etapas, e capacidade de execução pra rodar essas etapas de fato. Alguns agentes ainda coordenam com outros agentes, formando sistemas multiagentes, onde cada um cuida de uma parte do problema e eles trocam informação entre si.

E aqui está a frase que resume por que isso importa pra Cibersegurança: o risco muda quando a IA deixa de só responder e passa a agir. Uma resposta errada é um problema de qualidade. Uma ação errada, executada num sistema real, é um incidente.

MCP: conectando modelo ao resto do mundo

Pra um agente agir, ele precisa se conectar a ferramenta, dado e sistema externo de forma padronizada, em vez de cada aplicação inventar sua própria integração. É esse problema que o Model Context Protocol, o MCP, tenta resolver: um protocolo aberto, criado pela Anthropic no fim de 2024, que define como um modelo ou agente se conecta a fontes de dado e ferramentas externas.

O detalhe que mostra que isso não é modismo: OpenAI e Google adotaram MCP ao longo de 2025, e em dezembro do mesmo ano a Anthropic doou o protocolo pra Agentic AI Foundation, sob a Linux Foundation, com AWS, Google, Microsoft e outras empresas grandes como membros fundadores. Isso virou infraestrutura comum do setor, não recurso de um produto só.

Não vou entrar em como configurar um servidor MCP. O que importa reter é a tendência: modelo isolado virando sistema conectado, capaz de interagir com ferramenta e dado externo de forma padronizada. Cada conexão dessas é, também, uma nova borda que precisa ser protegida.

Guardrails: controle, não solução mágica

Guardrails são mecanismos de controle usados pra limitar, validar ou direcionar aquilo que um sistema de IA pode receber, produzir ou executar. Existem guardrails de entrada, que filtram o que chega até o modelo, e guardrails de saída, que filtram o que ele produz antes de virar ação ou resposta final. Também entram nessa categoria filtro de conteúdo, aplicação de política, controle sobre quais ferramentas um agente pode chamar, permissão granular, validação de ação antes de executar, e human-in-the-loop, onde uma pessoa aprova um passo crítico antes dele acontecer.

O ponto importante: guardrail é uma camada de controle, não uma garantia. Tratar guardrail como a única proteção de um sistema de IA é o mesmo erro de tratar firewall como a única proteção de uma rede. Funciona até alguém encontrar o caminho que ele não cobre.

IA como nova superfície de ataque

Um sistema baseado em IA introduz uma cadeia de confiança que não existia antes: usuário confia na aplicação, aplicação confia no modelo, modelo confia no contexto e no dado que recebe, esse contexto pode vir de uma ferramenta, que se conecta a uma API, que fala com outro sistema, que pode envolver outro agente. Quanto maior a capacidade de ação de um agente, maior o estrago que uma instrução maliciosa em qualquer ponto dessa cadeia pode causar.

Alguns dos riscos que já aparecem nos frameworks especializados do setor:

• Prompt Injection: manipular a entrada pra fazer o modelo ignorar sua instrução original.
• Indirect Prompt Injection: a instrução maliciosa não vem do usuário direto, vem de um conteúdo externo que o modelo processa, uma página web, um e-mail, um documento. O agente lê aquele conteúdo achando que é dado, e ele carrega um comando escondido. Esse é, talvez, o risco mais mal entendido da lista, porque quebra a intuição de que só o usuário pode instruir o sistema.
• Jailbreak: técnica pra contornar restrição de comportamento do modelo.
• Data Leakage: exposição de informação sensível que estava no contexto, no treino ou em dado conectado via RAG.
• Model/Data Poisoning: contaminar dado de treino ou base de conhecimento pra manipular o comportamento do sistema.
• Insecure Output Handling: confiar de olhos fechados na saída do modelo e usá-la direto num sistema downstream sem validação.
• Excessive Agency: dar a um agente mais autonomia ou permissão do que a tarefa exige.
• Tool Abuse: usar as próprias ferramentas legítimas do agente de forma maliciosa.
• Supply Chain: risco vindo de modelo, plugin, dataset ou dependência de terceiro usado na aplicação.
• Vazamento ou manipulação do contexto entre sessões, e risco específico de sistema multiagente, onde um agente comprometido pode influenciar outro.

Esses riscos estão catalogados de forma bem mais completa no OWASP Top 10 for LLM Applications, no OWASP Top 10 for Agentic Applications e no MITRE ATLAS, que eu deixo nas referências. Vale a leitura completa se você trabalha com isso no dia a dia.

Segurança de agentes: quando o problema deixa de ser o que o modelo falou

Até pouco tempo, o pior cenário era o modelo falar algo que não deveria. Hoje, o pior cenário é o agente fazer algo que não deveria: apagar um arquivo, enviar um e-mail, alterar um registro em produção, mover dinheiro, desligar um serviço. A superfície de risco saiu do texto e foi pro sistema.

E o motivo é simples: um agente pode ter acesso a arquivo, e-mail, API, banco de dados, aplicação corporativa, ferramenta de automação, infraestrutura e outro agente. Cada um desses acessos é um raio de ação que precisa ser controlado como qualquer outro acesso privilegiado.

A boa notícia é que a Cibersegurança já tem o vocabulário certo pra isso, só precisa reaplicar com atenção: identidade própria pra cada agente, autenticação e autorização antes de qualquer ação, least privilege real (não “dei acesso de admin porque era mais rápido”), segregação de função entre agentes com propósitos diferentes, logging e monitoramento de toda ação tomada, auditoria periódica do que um agente fez e por quê, princípios de Zero Trust aplicados também entre agentes e não só entre usuário e rede, gestão adequada de segredo e credencial que o agente usa pra se autenticar em outros sistemas, e controle de acesso granular no lugar de permissão ampla por conveniência.

Nada disso é novo. O que muda é que agora precisa ser aplicado a uma entidade que toma decisão sozinha, em velocidade que nenhum humano acompanha em tempo real.

IA no ataque e na defesa

Do lado ofensivo, IA já acelera engenharia social e phishing mais convincente, reconhecimento automatizado de alvo, criação e adaptação rápida de conteúdo malicioso, análise de grande volume de informação vazada, e redução do tempo entre reconhecimento e exploração em algumas etapas de ataque.

Do lado defensivo, o uso mais maduro está em SOC: triagem e enriquecimento de alerta, análise de log em volume que nenhuma equipe humana daria conta de processar sozinha, apoio a threat hunting, produção de Cyber Threat Intelligence, apoio a investigação e resposta a incidente, análise de vulnerabilidade em escala, automação de tarefa repetitiva, e apoio à tomada de decisão do analista.

Nenhum desses dois lados substitui gente. IA não troca analista de segurança por script inteligente. Ela muda o volume e a velocidade do que cada analista consegue cobrir, mas supervisão humana, contexto de negócio e validação de resultado continuam sendo parte do trabalho, não um extra opcional.

Glossário de siglas

Sigla	Significado
IA	Inteligência Artificial
LLM	Large Language Model
RAG	Retrieval-Augmented Generation
MCP	Model Context Protocol
API	Application Programming Interface
SOC	Security Operations Center
CTI	Cyber Threat Intelligence
OWASP	Open Worldwide Application Security Project
NIST	National Institute of Standards and Technology
MITRE ATLAS	Adversarial Threat Landscape for Artificial-Intelligence Systems
SAIF	Secure AI Framework (Google)

Conclusão: isso é só o mapa

Se você chegou até aqui, já sabe reconhecer a diferença entre IA Generativa e agente, entende por que RAG e MCP existem, e consegue nomear os principais riscos que aparecem quando um sistema de IA ganha capacidade de agir. Isso já coloca você à frente de boa parte do mercado. Mas é só o mapa. Cada um desses conceitos merece demonstração prática, caso real e tempo de bancada pra fazer sentido de verdade.

É por isso que estou preparando uma aula nova sobre Inteligência Artificial aplicada à Cibersegurança pros alunos da Hackers Hive. Vamos entrar de verdade nesses conceitos, entender os riscos com mais profundidade e observar alguns deles na prática, coisa que deixei de fora aqui de propósito. Se você quer acompanhar essa evolução de perto e construir uma base sólida em Cibersegurança, venha conhecer a Hackers Hive.

Referências

• OWASP GenAI Security Project: Top 10 for LLM Applications e Top 10 for Agentic Applications 2026
• NIST: AI Risk Management Framework e Generative AI Profile (NIST AI 600-1)
• MITRE: ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems)
• Google: Secure AI Framework (SAIF)
• Microsoft: Microsoft AI Red Team
• Anthropic: Model Context Protocol