A Google desenhou um agente que pode ser enganado. E não tem nada para entregar

Na mesma semana, duas publicações oficiais contaram os dois lados da mesma história. Em 21 de outubro, a Microsoft detalhou uma campanha de um grupo ligado ao Estado chinês que usou agentes de IA para atacar empresas. Em 22 de outubro, o Google Cloud anunciou uma infraestrutura em que o agente de IA nunca tem acesso às próprias credenciais.

Lidas juntas, elas mostram para onde a segurança de agentes está indo, e por que pedir para o modelo "se comportar" deixou de ser estratégia.

O ataque: velocidade de máquina com credencial alheia

Segundo o relatório da Microsoft, o grupo Storm-0940 usou o ARTEX, um framework open source de pentest em que vários agentes de IA trabalham juntos, do reconhecimento até a exfiltração de dados. Alguns números do relatório:

tentativas de login em mais de 2.250 tenants;
picos de 2.900 tentativas de senha por minuto;
em vários casos, menos de 3 horas entre o primeiro alvo e o acesso privilegiado.

O ponto central não é a força bruta. É o caminho: o grupo comprometeu aplicações já autorizadas de um fornecedor (ConnectWise) e usou as credenciais e a confiança que essas aplicações já tinham para entrar nos ambientes dos clientes, sem login interativo. A maior parte das tentativas falhou, mas a lição fica: credencial guardada em algo que pode ser comprometido vira chave para todo mundo que confia nele.

A defesa: o segredo nunca entra na máquina do agente

No anúncio do Agent Compute Engine, o Google descreve um desenho com três ideias:

Cada agente roda na própria microVM, com kernel próprio e isolamento por hardware, não num contêiner compartilhado.
O agente usa só uma identidade de curta duração. Cada um recebe um ID baseado no padrão aberto SPIFFE, usado para autenticação, controle de acesso e auditoria.
A credencial real é injetada fora da microVM. Nas palavras do Google: "service credentials are injected in egress outside the microVM". Quando o agente chama um serviço, a credencial entra na requisição no caminho de saída, sem nunca passar pela máquina dele.

O próprio texto do Google assume o cenário sem rodeio:

"the risk of untrusted or adversarial code executing inside a sandbox is an ever-present reality"

Traduzindo: o código que roda dentro da sandbox pode ser hostil, e isso é tratado como certo. Então a sandbox é desenhada para que, mesmo dominada, ela não tenha nada de valor dentro. Um detalhe que interessa a quem estuda isso: o runtime open source que leva o mesmo desenho ao Kubernetes, o Agent Substrate, diz funcionar com qualquer framework de agente, citando nominalmente Claude Code, OpenClaw e Hermes.

Por que isso é a mesma lição dos anos 70

O problema tem nome antigo: confused deputy, o "delegado confuso". Um componente com autoridade legítima é enganado por alguém sem autoridade e usa a própria permissão a favor do atacante. Num agente de IA, o atacante não precisa invadir nada: basta colocar uma instrução num documento, página ou log que o agente vai ler.

As duas notícias convergem para a mesma conclusão: não dá para depender de o componente não ser enganado. A permissão precisa ser negada por fora, em algo que não pode ser persuadido. O Google fez isso tirando o segredo do alcance do agente.

O que ainda fica em aberto

Tirar a credencial resolve o roubo de credencial. Não resolve tudo. Um agente manipulado ainda pode fazer algo errado dentro do acesso legítimo que a sessão já tem: apagar o arquivo certo pelo motivo errado, mandar a mensagem certa para a pessoa errada. Para isso continuam valendo mais duas camadas:

conferir os argumentos da ação, não só qual ferramenta foi chamada (liberar um comando não é liberar qualquer uso dele);
aprovação humana para o que é irreversível.

Uma observação de método: parte da cobertura em português e inglês trouxe números de desempenho e frases que não estão no anúncio oficial. Neste texto usei só o que está nas publicações da Microsoft e do Google, linkadas abaixo.

Daqui pra frente

Estou começando a publicar no LinkedIn uma série para quem trabalha com IA na prática: engenharia de agentes, segurança, e o que acontece em política, negócios e ciência que muda o nosso trabalho. Conteúdo do momento, com fonte primária e análise técnica, sem hype. Se esse é o seu tema, me acompanha por lá: linkedin.com/in/pablit0rg