TL, DR
"Ameaças à segurança da IA" abrange duas coisas diferentes: ataques direcionados a sistemas de IA e ataques que usam a IA como arma. Elas exigem controles diferentes, proprietários diferentes e evidências diferentes, e a maioria das listas mistura tudo, razão pela qual é tão difícil agir sobre elas. As cinco primeiras abaixo têm como alvo sua IA. As cinco seguintes usam IA contra sua cadeia de suprimentos.
- As ameaças aos sistemas de IA residem principalmente na configuração, e não no modelo em si. Escopo da ferramenta, a credencial sob a qual um agente é executado, um arquivo de regras, um
.mcp/servers.jsonentrada. Nada disso é acessível a partir do ponto final do modelo, razão pela qual apenas o teste de intrusão (red teaming) retorna resultados limpos. - Os ataques baseados em IA geralmente chegam por meio de dependências, não pelo seu perímetro. Nomes de pacotes alucinados registrados por atacantes, worms que se propagam automaticamente usando credenciais de desenvolvedor e chaves de provedores de IA como objetivo.
- Nove das dez perguntas são sobre coisas específicas. Quais servidores MCP, quais agentes, qual escopo, qual credencial, qual arquivo de regras, qual pacote. Um documento de política não responde a nenhuma dessas perguntas.
- Cada um dos dez compartilha uma condição prévia. Não é possível defender um recurso de IA que você nunca mapeou, o que faz da descoberta a etapa anterior aos controles, e não a posterior.
Quais são os dois tipos de ameaças à segurança da IA?
A maioria das listas de ameaças à segurança da IA mistura as duas coisas, e é por isso que é difícil agir sobre elas.
- Ameaças aos sistemas de IA Trate sua IA como o alvo. Alguém manipula um modelo, corrompe as instruções que ele segue ou abusa das permissões concedidas a um agente. O trabalho do defensor é a contenção: reduzir o alcance de uma IA comprometida.
- Ataques baseados em IA Trate a IA como instrumento do atacante. O alvo é o seu software comum: dependências, credenciais, sistemas de compilação, desenvolvedores. O trabalho do defensor é a detecção rápida, porque a economia do ataque mudou e o volume aumentou.
São necessários controles diferentes, proprietários diferentes e evidências diferentes. Uma equipe que realizou um teste de intrusão em seu chatbot não fez nada em relação ao slopsquatting. Uma equipe com excelente verificação de dependências ainda pode estar executando um agente com acesso de gravação a repositórios de produção e sem limite de escopo. Ambos são ameaças à segurança da IA. Nenhum abrange o outro.
Ameaças aos sistemas de IA: as cinco que ocorrem com mais frequência
01. Injeção rápida que atinge um ponto de coleta da ferramenta
Conteúdo não confiável chega, é concatenado em um prompt do sistema e o agente na outra ponta pode invocar ferramentas. O prompt em si não é a vulnerabilidade. O caminho que leva de uma entrada não confiável a uma capacidade perigosa é.
É por isso que a filtragem de prompts sozinha decepciona. Ela fortalece uma extremidade da cadeia, enquanto a questão interessante é se existe alguma proteção entre a entrada e a chamada da ferramenta. OWASP Top 10 para candidaturas a mestrado em Direito (LLM) Mantém a injeção imediata no topo da lista, mas a combina com agência excessiva exatamente por esse motivo.
O que procurar: Entrada não confiável chegando a um prompt do sistema, recuperação de contexto sem sanitização e destinos de ferramentas acessíveis sem nenhuma proteção intermediária.
02. Regras maliciosas e arquivos de habilidade
Um arquivo de regras é um texto simples. É commitO texto segue o formato de documentação e é revisado como documentação, instruindo o assistente sobre o que fazer. Caracteres de largura zero tornam as linhas invisíveis em um texto. pull request diff, mantendo-se perfeitamente legível para o agente.
ATLAS DE MITRA Isso é catalogado como a Backdoor do Arquivo de Regras, estudo de caso AML.CS0041. O revisor aprova uma convenção de formatação. O agente lê uma instrução para importar de um pacote controlado pelo atacante e para não dizer nada a respeito.
O que procurar: Arquivos de regras, arquivos de habilidades e modelos de instruções analisados como código em vez de prosa, com detecção de caracteres invisíveis.
03. Configuração insegura do servidor MCP
Configuração MCP É onde um agente recebe suas ordens e onde as credenciais são acumuladas. Ambas as partes representam um problema. A vulnerabilidade CVE-2025-6514, divulgada em julho de 2025, era uma injeção crítica de comando no sistema operacional em uma ponte MCP amplamente utilizada, com uma pontuação CVSS de 9.6 e que permitia a execução de comandos arbitrários no host cliente ao conectar-se a um servidor não confiável.
A parte das credenciais é pior porque é passiva. Uma pesquisa realizada em 2026 encontrou mais de 24,000 segredos armazenados em arquivos de configuração do MCP no GitHub público, sendo que mais de 2,000 deles ainda são válidos.
O que procurar: Um inventário dos servidores MCP em uso, suas versões, suas ferramentas declaradas e a detecção de segredos executada em arquivos de configuração.
04. Agência excessiva
Um agente com amplo escopo de ferramentas e credenciais de longa duração representa uma vulnerabilidade de escalonamento de privilégios à espera de ser explorada. Nada precisa ser descoberto para que isso cause danos. Um agente confuso e um agente comprometido causam danos semelhantes quando ambos possuem acesso de escrita que nunca precisaram.
Este é o item menos glamoroso da lista e o mais comum. Também possui a solução mais barata, que é a redução do escopo, e essa solução raramente é aplicada porque ninguém é o responsável pela questão.
O que procurar: Quais agentes existem, o que cada um pode invocar, sob quais credenciais e se alguém aprovou esse escopo.
05. Modelos, conjuntos de dados e dependências de IA comprometidos
A infraestrutura de IA é construída com base em pacotes comuns e artefatos hospedados. Os modelos são baixados de plataformas públicas. Os conjuntos de dados são obtidos de qualquer lugar. Ambos apresentam o mesmo problema de proveniência que qualquer dependência, com menos ferramentas e muito menos escrutínio.
O que procurar: Modelos, estruturas e conjuntos de dados tratados como componentes da cadeia de suprimentos, com a mesma análise de composição e a mesma Rastreamento de CVEs, assim como o restante de suas dependências.
Ataques impulsionados por IA: os cinco que estão remodelando sua cadeia de suprimentos.
06. Agachamento inclinado
Uma pesquisa apresentada na USENIX Security em 2025 gerou 2.23 milhões de amostras de código em 16 modelos e descobriu que 19.7% dos pacotes recomendados não existiam, produzindo mais de 205,000 nomes alucinatórios únicos. Cerca de 43% desses nomes se repetiram em execuções repetidas do mesmo prompt, o que os torna exploráveis.
Os atacantes não precisam mais comprometer um servidor de manutenção. Eles registram o nome que seu agente inventou e aguardam a instalação. O pacote não possui assinatura nem aviso, pois é novo e ninguém o viu antes.
O que procurar: A triagem de malware funciona com base no comportamento, e não na reputação, e é aplicada a todas as dependências adicionadas por um agente.
07. Vermes autopropagáveis na cadeia de suprimentos
O worm npm de setembro de 2025 marcou o ponto em que as máquinas dos desenvolvedores se tornaram o mecanismo de entrega, em vez do alvo. O padrão se repetiu em larga escala até 2026. Cada credencial de desenvolvedor comprometida publica a próxima rodada de pacotes comprometidos, e o raio de impacto se multiplica em vez de aumentar.
O que procurar: atividade de publicação anômala, incomum commit padrões e uso de credenciais que não correspondem ao comportamento normal do desenvolvedor.
08. Direcionamento de credenciais de IA por Estados-nação
Em março de 2026, um pacote com aproximadamente 100 milhões de downloads semanais foi comprometido por um período medido em horas, com o objetivo de obter chaves de API de provedores de IA. O período foi deliberadamente curto: tempo suficiente para coletar os dados, mas curto o bastante para reduzir a chance de detecção.
As credenciais de IA agora são um alvo prioritário por si só, pois compram poder computacional, acesso e uma identidade plausível. Os ataques com o objetivo de roubá-las aumentaram drasticamente entre o final de 2025 e o início de 2026.
O que procurar: As chaves dos provedores de IA são tratadas como segredos, com os mesmos mecanismos de detecção e revogação aplicados às credenciais em nuvem.
09. Malware criado ou instalado usando um LLM
Em 2026, já havia casos documentados de um modelo de linguagem sendo usado como arma para inserir código malicioso em um fluxo de trabalho de um agente. A importância disso não reside no fato de o malware ser inédito, mas sim no fato de que a autoria deixou de ser um gargalo, e o volume de código malicioso plausível disponível para um atacante aumentou proporcionalmente.
O que procurar: detecção Isso não depende de já ter visto a amostra antes.
10. Analisar o colapso da capacidade
Este não é um ataque, por isso está por último e é o mais importante. Quando um agente produz mil arquivos por semana, a revisão de código deixa de ser um controle e se torna uma fila. Todas as outras ameaças desta lista ficam mais fáceis quando a última verificação humana é sobrecarregada.
O que procurar: Os resultados foram classificados por grau de explorabilidade, e não por gravidade bruta, de modo que o pequeno número que representa uma ameaça à produção realmente chega ao desenvolvedor.
O mapa apresenta dez ameaças. Como lidar com cada uma delas exige mais do que um post de blog, por isso decidimos conversar sobre o assunto com calma. Neste episódio de Palestras SafeDevJesús Cuadrado, CEO da Xygeni, conversa com Atanas Nikolov, especialista em DevSecOps e SSDLC Líder técnico em malware polimórfico, injeção imediata, adulteração de modelos e o que realmente funciona contra eles. Sem formulário, sem barreira.
Por que você não pode defender ativos de IA que você não mapeou?
Leia as dez perguntas novamente e o padrão fica evidente. Nove delas são questões sobre coisas específicas: quais servidores MCP, quais agentes, qual escopo, qual credencial, qual arquivo de regras, qual pacote.
Nenhuma dessas perguntas pode ser respondida por um documento de política. Elas são respondidas por um inventário, e a maioria das organizações não possui um. A IA surgiu por meio de desenvolvedores que agiram rapidamente, sem um sistema de tickets, um processo de aquisição ou uma entrada em um repositório que se autodenominasse IA.
Isso faz com que o mapeamento seja a condição prévia, e não o primeiro passo. Um programa de ameaças à segurança da IA que começa com controles os aplicará à IA que conhece, que é um subconjunto que não pode ser dimensionado. A descoberta deve vir primeiro: modelos, estruturas, conjuntos de dados, endpoints de inferência, agentes, servidores MCP, habilidades, prompts e as ferramentas de codificação de IA que seus desenvolvedores realmente usam, com os relacionamentos entre eles, porque um ativo isolado fornece muito pouco e o risco se concentra na cadeia.
O Estrutura de gerenciamento de risco NIST AI Coloca o mapa antes da medição e do gerenciamento pelo mesmo motivo. É a função menos interessante da estrutura e aquela da qual tudo o mais depende.
Quais são as primeiras ameaças à segurança da IA que você deve abordar?
Não é o mais sofisticado. É o mais acessível.
- Esta semana: Conte seus servidores MCP e execute a detecção de segredos em seus arquivos de configuração. A ameaça 03 é a que apresenta a maior relação entre exposição e esforço na lista, e quase ninguém a analisou.
- Este mês: Identifique seus agentes e anote o que cada um pode invocar e com quais credenciais. Isso resolve a ameaça 04, que é a mais comum e a mais barata de mitigar.
- Neste trimestre: Coloque a triagem comportamental de malware antes de cada dependência que um agente adicionar. Isso cobre as ameaças 06, 07 e 09 de uma só vez, porque todas as três burlam as verificações baseadas em reputação por serem novas.
Tudo o resto pode esperar por esses três, porque tudo o resto pressupõe que você já saiba o que tem.
As organizações que lidarem bem com as ameaças de segurança da IA em 2027 não serão aquelas com as melhores avaliações de modelos. Serão aquelas que puderem responder, em qualquer terça-feira, qual IA está sendo executada em seus softwares e a que nível de acesso ela tem permissão. Essa é a posição. Xygeni foi construído em torno de: descoberta contínua de todos os ativos de IA em repositórios e pipelines, risco avaliado de acordo com as estruturas já reconhecidas pelos seus auditores e a triagem da cadeia de suprimentos que detecta o que ainda não possui assinatura.
Dez ameaças, duas categorias, um mapa subjacente a ambas.
Perguntas frequentes
As ameaças à segurança da IA são realmente diferentes das ameaças à segurança de aplicativos comuns?
Em parte. As consequências são conhecidas: execução de código, roubo de credenciais, exposição de dados. O que muda é o ponto de entrada e a velocidade. Arquivos de configuração que antes eram inertes agora contêm instruções que são executadas por algum programa, e o custo para um atacante produzir um código malicioso convincente diminuiu. Seus controles existentes ainda se aplicam; eles apenas não cobrem mais toda a superfície.
Será que a simulação de ataques cibernéticos em nossos modelos resolve a maioria dessas ameaças?
Aborda parte de um desses problemas. O teste de intrusão (red teaming) responde se um modelo pode ser convencido a fazer algo que deveria recusar, o que é realmente útil. Ele não consegue ver o escopo da ferramenta, as credenciais, o arquivo de regras ou a configuração do MCP, porque nenhum desses itens é acessível pelo endpoint do modelo. Um relatório de teste de intrusão sem erros e um agente com privilégios excessivamente elevados podem coexistir sem contradição.
Qual dessas ameaças à segurança da IA é a mais subestimada?
Excesso de agência, por uma larga margem. Não possui CVE, nenhum exploit para demonstrar e nenhum fornecedor vendendo um produto dedicado para ele, portanto não gera urgência. É também a diferença entre um incidente contido e um não contido, porque o escopo é o que determina o quão longe algo se propaga após o primeiro erro.
De que forma os ataques impulsionados por IA alteram o que devemos medir?
Eles mudam a métrica útil da gravidade para o tempo. Quando pacotes maliciosos são gerados mais rapidamente do que as assinaturas são publicadas, "quantos problemas críticos estão em aberto" importa menos do que "com que rapidez algo novo é sinalizado". Meça a diferença entre uma dependência entrar em sua base de código e ser verificada, e a diferença entre uma descoberta ser relatada e chegar a um desenvolvedor que possa agir sobre ela.
