Os agentes de IA têm mudado o jeito como empresas lidam com desenvolvimento de software e automação de operações de TI. Sempre enxerguei esses avanços como uma oportunidade incrível para acelerar entregas e liberar times para tarefas mais estratégicas. No entanto, eu tenho acompanhado com atenção as discussões sobre riscos emergentes ligados a essas soluções. Recentemente, uma pesquisa conduzida pela Aikido chamou muito a minha atenção e reforçou um ponto essencial: nem toda automação é sinônimo de segurança.
O risco escondido nos fluxos automáticos de DevOps
Quando agentes de IA entram na cadeia de DevOps, eles recebem permissões “de confiança” para interagir com sistemas, editar arquivos, executar comandos e, muitas vezes, até autorizar mudanças em repositórios de código. Eu percebo que, na prática, as empresas querem rapidez. Mas será que param para avaliar o quão amplo pode ser esse acesso?
Segundo o estudo liderado por Rein Daelman, publicado pela Aikido, há uma fragilidade real nestes agentes, principalmente quando integrados a ferramentas como GitHub Actions, GitLab, ou outros fluxos automáticos. A vulnerabilidade explorada não é um cenário hipotético. Ela foi encontrada em projetos reais e gerou alertas de segurança globalmente.
O invasor não precisa invadir servidores, só precisa convencer a IA de algo errado.
O que vejo como central nesta vulnerabilidade é a maneira como hackers podem “instruir” agentes de IA, escondendo comandos maliciosos em locais aparentemente inocentes, como commits de código, pull requests ou descrições de tarefas. Quando a IA processa essas mensagens, pode acabar interpretando-as como ordens legítimas e executar ações perigosas.
Como ocorre a injeção de comandos maliciosos
Grande parte dos agentes de IA ainda tem dificuldade para separar dados comuns de verdadeiros comandos. Se um desenvolvedor (ou um invasor disfarçado) cria uma mensagem de commit com instruções ocultas, o agente pode entender aquilo como parte normal da tarefa. No ambiente de desenvolvimento, onde centenas de interações acontecem por dia, ninguém percebe a ameaça chegando.
A pesquisa detalhou que ataques assim atingem a maioria dos sistemas de IA aplicados à programação, como Claude Code, Google Gemini, Codex da OpenAI e até o AI Inference do GitHub. São ferramentas cada vez mais presentes no cotidiano de equipes técnicas.
Por que essa falha é tão grave?
O ponto mais preocupante, ao meu ver, é o nível de privilégio desses agentes na infraestrutura das empresas. Eles costumam ter acesso para:
- Executar comandos shell no servidor
- Editar arquivos de configuração e código
- Publicar ou aprovar mudanças automaticamente
- Ler e potencialmente exportar segredos e tokens privados
Ao manipular um commit ou pull request, o hacker faz a IA agir como cúmplice, executando comandos que nunca foram revisados por um humano. Basta alguém fingir que está reportando um ajuste ou bug, e o sistema pode estar em risco sem que ninguém perceba imediatamente.
O relatório da Aikido trouxe exemplos práticos: comandos simples inseridos em comentários ou descrições que foram executados inadvertidamente. Projetos grandes do GitHub sofreram ataques desse tipo, confirmando o temor que muitos especialistas tinham: a IA pode ser enganada de formas mais sutis que pessoas.
A resposta das empresas e o problema estrutural das LLM
Após a publicação dos riscos, o Google foi uma das primeiras empresas a responder. Um comunicado foi divulgado, reconhecendo a brecha no Gemini CLI, e correções rápidas vieram na sequência. Ou seja, houve uma atitude proativa. No entanto, de acordo com a Aikido, o “buraco” ainda persiste em outros modelos usados globalmente.
Esse não é um caso isolado. A arquitetura das plataformas de LLM (Large Language Models) costuma seguir padrões que facilitam esse tipo de ataque. Mesmo em sistemas que impõem restrições de escrita, como Claude Code e Codex, comandos simples podem driblar filtros de proteção. Houve tentativas, inclusive, de usar prompts indiretamente disfarçados e, surpreendentemente, com sucesso.
Inclusive, testes demonstraram que é possível provocar frequentes vazamentos de dados sensíveis, como tokens privilegiados do GitHub, que dão acesso total a sistemas. Aquilo que parecia uma piada entre desenvolvedores virou realidade.
O que um agente malicioso pode realmente causar?
Não se trata apenas de comandos isolados ou brincadeiras internas. O impacto pode atingir proporções grandes, expondo dados e ameaçando a integridade de projetos inteiros. Nos cenários analisados pela pesquisa, as ações identificadas envolveram:
- Alterações não autorizadas em arquivos importantes
- Inclusão de código malicioso em produção
- Exposição de credenciais e segredos de acesso
- Publicação de versões comprometidas de softwares
- Desencadeamento de comandos shell perigosos
O agente de IA, quando mal instruído, vira um executor automático de ordens externas, afetando a cadeia de entrega do software sem levantar suspeitas até que o estrago esteja feito.
A facilidade de automação expande o raio de ataque, qualquer um pode tentar enganar a IA, inserindo prompts em locais diversos do processo. Por isso, empresas que trabalham com agentes de IA na infraestrutura, como as soluções que ajudo a desenvolver na Fábrica de Agentes, precisam reforçar barreiras e revisar políticas constantemente.
Como proteger fluxos automatizados e agentes de IA
A primeira lição que tirei é esta: confiar não basta. Cada vez que penso em implantar automações em projetos, passo a analisar alguns pontos extras para mitigar riscos:
- Implementar sistemas que não permitam que agentes executem comandos recebidos via texto, sem validação humana
- Monitorar logs de atividades para identificar ações suspeitas
- Separar claramente permissões: a IA não deve ter acesso maior que o necessário
- Validar e revisar todos os fluxos automáticos de integração e deploy
- Treinar equipes para reconhecer tentativas sofisticadas de injeção de prompts
- Adotar atualizações constantes das ferramentas, já que correções, como no caso do Gemini CLI, são liberadas rápido após a identificação pública dos erros
Esse cuidado já faz parte dos processos que defendo na Fábrica de Agentes, pois segurança nunca pode ser secundária. Para empresas que desejam se aprofundar nas práticas mais maduras para adoção de IA, já indiquei o conteúdo de melhores práticas em desenvolvimento com IA.
Quanto maior o poder do agente, maior a fiscalização e o cuidado com possíveis brechas.
O futuro dos agentes de IA: como empresas podem avançar em segurança?
É fato que agentes de IA estão cada vez mais presentes em empresas de todos os portes. Os benefícios são claros, mas novas responsabilidades surgem, principalmente em cenários de automação pesada e integração com sistemas críticos. No meu cotidiano, vejo que cada empresa tem um contexto diferente, por isso desenvolvo soluções sob medida e faço questão de personalizar a proteção de cada caso.
Para quem está começando a avançar neste universo, recomendo sempre uma abordagem em etapas:
- Mapear fluxos e entender onde agentes de IA são expostos a comandos externos.
- Aplicar filtros e verificações extras no processamento automático de mensagens do repositório.
- Auditar periodicamente permissões e tokens de acesso a sistemas sensíveis.
- Promover um ciclo constante de atualização e testes, acompanhando vulnerabilidades publicadas e corrigidas.
A maturidade neste processo depende de investimento em pessoas, tecnologia e cultura de prevenção. Se quiser saber mais sobre como integrar agentes de IA de maneira alinhada à sua rotina, compartilho minhas visões práticas neste artigo sobre integração de agentes de IA.
Conclusão: riscos existem, mas podem ser controlados
Depois de tudo o que li e acompanhei recentemente sobre incidentes com agentes de IA em DevOps, ficou clara para mim a importância de nunca baixar a guarda. Os riscos de injeção de comandos ou vazamento de credenciais são reais e exigem atenção constante. Aproveito para reforçar o compromisso que assumi na Fábrica de Agentes: entregar soluções de inteligência artificial que se adaptem à realidade de cada empresa e nunca deixem a segurança de lado. Se você deseja saber mais sobre como usar IA em automação e outras áreas, recomendo também os conteúdos sobre automação e o universo dos agentes de IA.
O maior risco é agir como se nada pudesse acontecer. O segredo está em mesclar inovação com vigilância.
Se você busca implantar IA com segurança e adaptação ao seu negócio, te convido a conhecer a Fábrica de Agentes e descobrir como podemos gerar valor de forma protegida e transparente para sua empresa.
