O agente que ninguém usa, e que ainda abre a porta
Três em cada quatro agentes de Inteligência Artificial (IA) habilitados em empresas não fazem nada há pelo menos dois meses. E continuam com a credencial funcionando. É o que mostra o relatório de ameaças de agentes autônomos de 2026 da Arrakis Security, divulgado em 21 de outubro e detalhado pelo Help Net Security em 26 de outubro. A empresa analisou a telemetria de milhares de agentes em ambientes de produção de clientes, ao longo de 12 semanas.
Os números: 76% dos agentes não rodavam havia 60 dias ou mais. 44% estavam parados havia 180 dias. Segundo o comunicado, nesses casos a credencial ainda funciona e o gatilho ainda dispara.
Agente, para quem ainda não esbarrou no termo, é o software de IA que não só responde: ele executa. Lê a caixa de e-mail, abre chamado, consulta o banco de dados, manda arquivo para fora. Para isso, recebe acesso. E é esse acesso que sobra quando o projeto acaba.
A frase que resume o problema é do próprio presidente da Arrakis, Tal Baron: “quando um agente deixa de ser usado, ninguém remove nada, porque na maioria das empresas ninguém é dono dele”.
Mas um agente parado faz o quê, exatamente?
Por conta própria, nada. O risco é o que dá para fazer com ele.
Pelo levantamento, 24% dos agentes dormentes podem ser acionados por um webhook não assinado vindo de fora da organização. Webhook é um endereço que recebe um aviso e dispara uma ação. Não assinado quer dizer que o agente não confere quem mandou o aviso. Ou seja: alguém de fora, que descubra esse endereço, consegue acordar um agente que a empresa nem lembra que existe.
E o agente acordado chega longe. 70% deles alcançam sistemas classificados como sensíveis, como armazenamento em nuvem, serviços de IA e plataformas de marketing. Entre os que têm conexão sensível, 99,4% não tinham cobertura verificada de prevenção de perda de dados (DLP, a camada que barra a saída de informação que não deveria sair), segundo o Help Net Security.
Tem mais. 19% usavam chaves de API (o código que autentica um sistema no outro) que nunca expiram, gravadas na própria configuração. 22% podem mandar conteúdo para um modelo hospedado por terceiro e agir com base na resposta. 20% podem delegar tarefa a outro agente com permissões diferentes das suas.
Esse último dado merece um minuto. Um agente com pouco acesso que pede ajuda a outro com muito acesso é, na prática, um atalho de privilégio. Ninguém desenhou esse caminho. Ele simplesmente apareceu.
No total, 82% dos agentes tinham pelo menos uma exposição registrada, e 46% desses tinham duas ou mais.
E dá para confiar nesses números?
Penso que sim mas, claro, sempre com olhar crítico. Os dados vêm da telemetria dos clientes da própria Arrakis, que vende ferramentas para monitorar agentes. Quem contrata esse tipo de produto provavelmente já desconfia que tem um problema. A amostra não representa o mercado inteiro, e o relatório é, também, peça de venda.
Dito isso, o próprio Baron admite no comunicado que se fala muito sobre risco de agentes e há pouquíssimo dado. E o padrão descrito não é novo para ninguém que já trabalhou com identidade. É exatamente o que acontece com a conta do funcionário que saiu da empresa e continuou ativa, ou com o usuário de serviço criado para um projeto de 2019 que ninguém desligou. A diferença é a velocidade: agente se cria em minutos, por qualquer área, sem passar pela TI.
Exato. O problema não é o agente. É o crachá que ninguém recolhe.
Onde a empresa brasileira entra nessa conta?
Com o pé no acelerador e a mão longe do freio (rsrs). Na pesquisa State of AI in the Enterprise, edição 2026, da Deloitte, 95% das empresas brasileiras disseram planejar adotar IA agêntica em até dois anos. Só 27% afirmaram ter modelo de governança maduro. O levantamento ouviu 3.235 líderes em 24 países, 115 deles no Brasil. “Estamos vendo uma corrida pela adoção da IA Agêntica, mas a governança ainda não evolui na mesma velocidade”, disse Jefferson Denti, Chief Disruption Officer da Deloitte, no material de divulgação.
A escala também já chegou por aqui. Em reportagem da Agência EY publicada em maio de 2026, Andrei Graça, sócio-líder de IA e dados da EY Brasil, contou o caso de uma mineradora brasileira que começou com 30 agentes e chegou a cerca de mil, com meta de 5 mil até o fim do ano. Ninguém revisa mil crachás de cabeça.
O regulador também já olha para o assunto. Na ata do Comitê de Estabilidade Financeira (Comef) divulgada em junho de 2026, o Banco Central passou a tratar a IA como risco sistêmico cibernético e sugeriu reforçar três frentes: gestão de vulnerabilidades, desenvolvimento seguro e riscos de terceiros, segundo o Lets Money. Um agente esquecido, ligado a uma plataforma externa por uma credencial que não expira, cabe nas três ao mesmo tempo.
E tem a Lei Geral de Proteção de Dados Pessoais (LGPD). Ela não pergunta se quem acessou o dado foi uma pessoa ou um software. Se o agente que ninguém lembrava vazou a base de clientes, quem responde é a empresa que deixou a porta aberta.
O que fazer com os agentes que já estão aí?
A boa notícia é que a resposta não exige tecnologia nova. Exige o mesmo rito que já aplicamos a gente de carne e osso: admissão, revisão e desligamento.
Na admissão, todo agente nasce com dono nomeado, finalidade escrita e prazo de validade. A EY usa algo parecido no inventário inicial que Graça descreveu: dono, domínio, restrição de acesso, finalidade e custo versus retorno. Sem dono, o agente não sobe para produção.
Na revisão, a pergunta é simples: este agente rodou nos últimos 60 dias? Se não rodou, o acesso dele é suspenso até alguém aparecer para reclamar. (Spoiler: na maioria das vezes, ninguém aparece.)
No desligamento, o projeto que acaba leva o agente junto. Credencial revogada, gatilho desativado, integração removida. Do mesmo jeito que o RH avisa a TI quando alguém sai, o dono do projeto avisa quando o agente perde a função.
E vale uma regra técnica que custa pouco: nada de chave de API sem data de validade, e nada de gatilho externo que não confira a assinatura de quem chama.
Nenhum desses passos é sofisticado. Todos dependem de alguém assumir o agente como responsabilidade sua, e não como experimento de alguém que já mudou de área.
Os agentes que a sua empresa criou neste ano vão ganhar colegas no ano que vem, e a conta da Deloitte sugere que eles chegam antes da governança. Quando o primeiro incidente vier de um agente parado, quem na sua empresa vai conseguir dizer de quem ele era?
Até o próximo Café com Bytes, com ceticismo saudável e café bem passado.
Ricardo Brasil | Especialista em IA Responsável e Diretor de TI na GWS Engenharia — Colunista Café com Bytes | Tecnologia | Inteligência Artificial
Sobre o Autor
Ricardo Brasil é Diretor de TI e Gestão Corporativa da GWS Engenharia, especialista em IA Responsável, transformação digital e governança de TI. É colunista da série Café com Bytes, onde escreve semanalmente sobre tecnologia, inteligência artificial e seus impactos no ambiente corporativo brasileiro.
