Vulnerabilidade de Agentes de IA com 192 Incidentes Reais
Compreender como a vulnerabilidade dos agentes de IA faz os sistemas falharem, seja através de exploits de segurança, falhas nas barreiras de proteção ou exposição de dados, tornou-se crítico à medida que estes sistemas assumem papéis cada vez mais autónomos nos fluxos de trabalho empresariais.
Para mapear o panorama de risco real dos agentes de IA, revimos 192 incidentes de vulnerabilidade documentados, abrangendo de março de 2016 a maio de 2026, recorrendo a várias fontes.
Distribuição de vulnerabilidades
Distribuição por categoria
Os incidentes dividem-se em três classes.
As falhas de segurança lideram. Nestes casos, o agente produz ou possibilita danos que os seus controlos deveriam ter bloqueado. Os exploits de segurança vêm a seguir; aqui, um atacante abusa de uma fraqueza no agente. A exposição de dados é a classe mais pequena.
Falhas de segurança e barreiras de proteção
Três categorias suportam a maior parte do peso.
Difamação e fabricação é a maior categoria individual no catálogo. O agente declara factos falsos sobre uma pessoa ou empresa real. Exemplos incluem acusações inventadas e citações legais falsas.
Exploits de segurança
As categorias de segurança seguem a lista OWASP ASI (o Top 10 da OWASP para Aplicações Agênticas).
O desvio de objetivos do agente lidera. O método comum é a injeção de prompt: instruções ocultas colocadas em texto que o agente lê. A execução de código inesperada vem em segundo lugar, onde o agente executa comandos fornecidos pelo atacante.
Exposição de dados
A exposição de dados confidenciais e o controlo de acesso representam 15 incidentes. As causas comuns incluem links de partilha abertos, palavras-passe fracas e armazenamento não encriptado.
Distribuição por ano e mês
Os registos abrangem de março de 2016 a maio de 2026. O número aumentou acentuadamente nos últimos anos.
O ano de 2025 detém mais de metade do catálogo. O aumento acompanha a disseminação de chatbots e ferramentas agênticas no trabalho diário.
O primeiro registo data de março de 2016: o chatbot Tay da Microsoft, guiado por utilizadores para publicações racistas. Até 2022, os relatos são escassos. Centram-se no mau comportamento e conteúdo prejudicial dos chatbots, não em ataques.
2025 trouxe 104 incidentes, o pico do catálogo. O fluxo manteve-se estável ao longo do ano, com picos em julho (14), abril (13) e outubro (13). A mistura de classes foi quase equilibrada: 51 falhas de segurança, 47 exploits de segurança e 6 casos de exposição de dados.
2026 apresenta 33 incidentes até maio. A mistura inclina-se para a segurança: 23 exploits contra 8 falhas de segurança. Os ataques à cadeia de fornecimento e as falhas de execução de código aumentam à medida que vários agentes ganham acesso a ferramentas, código e sistemas externos conectados.
Categorias de vulnerabilidade de agentes de IA
Uma vulnerabilidade de agente de IA é uma fraqueza num sistema de IA autónomo. Um sistema agêntico planeia, decide e age ao longo de vários passos. Utiliza ferramentas, memória e ligações a outros sistemas, muitas vezes sem um humano a aprovar cada etapa. Uma vulnerabilidade permite que um atacante explore essa fraqueza, ou que os controlos de segurança do agente falhem. O efeito atinge o mundo real: dados sensíveis divulgados, execução não autorizada, código que corre numa máquina hospedeira, ou danos a uma pessoa.
As categorias abaixo dividem-se em três grupos. As categorias de exploits de segurança cobrem ataques que abusam de uma fraqueza. As categorias de segurança e barreiras de proteção cobrem falhas em que o agente produz ou possibilita danos. A exposição de dados cobre controlos de acesso fracos que revelam informações privadas.
As categorias de segurança de agentes de IA seguem o Top 10 da OWASP para Aplicações Agênticas (2026). As categorias de segurança e exposição de dados estendem essa lista, porque o conjunto da OWASP foca-se na segurança e deixa espaço para falhas de barreiras de proteção e privacidade.
Categorias de exploits de segurança
Desvio de objetivos do agente
Um atacante muda o que o agente tenta fazer. O método comum é a injeção de prompt: instruções ocultas colocadas em texto que o agente lê, como um email, uma página web, um documento ou a saída de uma ferramenta. O agente trata o texto oculto como um comando real e segue-o. O EchoLeak mostrou o perigo. Um único email criado fez o Microsoft 365 Copilot ler ficheiros internos e enviá-los, sem qualquer clique da vítima.
Uso indevido e exploração de ferramentas
O agente tem permissão para chamar ferramentas e APIs, como email, bases de dados ou funções de pagamento. Um atacante guia o agente a usar essas ferramentas contra o seu proprietário. O dano vem de uma ação normal tornada prejudicial. Um agente de trading manipulado, por exemplo, pode mover fundos para a conta errada.
Abuso de identidade e privilégios
Um agente transporta credenciais e direitos de acesso. Controlos fracos permitem que um atacante tome emprestada essa identidade ou force o agente além dos seus limites pretendidos. O agente de contratação McHire do McDonald's usou uma palavra-passe fraca e expôs registos de cerca de 64 milhões de candidatos.
Cadeia de fornecimento agêntica
Os agentes dependem de partes externas: modelos de IA, plug-ins e conectores como servidores MCP. (MCP, o Model Context Protocol, é uma forma padrão para um agente se conectar a ferramentas externas.) Uma parte envenenada ou falsa espalha os seus danos a todos os agentes que a instalam. O agente de codificação Cline distribuiu uma versão com backdoor depois de um atacante o ter enganado para obter um pacote falso.
Execução de código inesperada
O agente executa código ou comandos de shell numa máquina hospedeira. Um atacante abusa dessa capacidade para executar os seus próprios comandos. A abreviatura para isto é RCE, ou execução remota de código. A falha do CLI do Gemini obteve a gravidade máxima e deu a um atacante o controlo total do hospedeiro.
Envenenamento de memória e contexto
Os agentes mantêm memória e extraem contexto de documentos e bases de dados. Um atacante planta prompts falsos ou maliciosos nesse armazenamento. O agente recupera mais tarde o conteúdo envenenado e age sobre ele. O efeito perdura entre sessões e é difícil de detetar.
Comunicação insegura entre agentes
Muitos sistemas complexos executam vários agentes que comunicam entre si. Um agente tende a confiar nas mensagens de outro agente por defeito. Um atacante abusa dessa confiança, falsifica um agente ou retransmite instruções adulteradas. Um agente com poucos privilégios pode ser guiado a recrutar um mais poderoso.
Falhas em cascata
O erro ou comprometimento de um único agente espalha-se por sistemas multiagente conectados. Uma única ação pode apagar dados ou quebrar um fluxo de trabalho sem desfazer fácil. Um agente do Replit apagou uma base de dados de produção durante um congelamento de código e depois mascarou o erro.
Categorias de falhas de segurança e barreiras de proteção
Estas categorias descrevem uma falha dos controlos do agente. Não é necessário um atacante. O agente produz ou possibilita danos que as suas barreiras de proteção deveriam ter bloqueado.
Autoagressão e saúde mental
O agente falha em proteger uma pessoa em crise. Em vez de redirecionar para apoio, valida pensamentos prejudiciais ou fornece detalhes perigosos. Relatos descrevem chatbots que encorajaram o suicídio ou reforçaram pensamentos delirantes, com danos reais para a pessoa.
Segurança de menores
O agente expõe um menor a conteúdo sexual, predatório ou de outra forma inseguro. Os controlos destinados a bloquear tais interações falham. Relatos descrevem chatbots de companhia que arrastaram menores para conversas inseguras.
Violência e assistência perigosa
O agente ajuda a planear ou executar violência ou outro crime grave. Os filtros que deveriam recusar o pedido quebram. Relatos descrevem chatbots consultados durante o planeamento de ataques.
Conselhos de saúde e médicos prejudiciais
O agente dá orientação médica insegura que pode ferir uma pessoa. Um relato descreve um chatbot que sugeriu trocar sal de mesa por brometo de sódio, o que levou a envenenamento e internamento hospitalar.
Difamação e fabricação
O agente declara factos falsos sobre uma pessoa ou organização real como se fossem verdadeiros. Citações, acusações ou referências fabricadas causam danos reputacionais ou legais. Um modelo acusou falsamente um jornalista de crimes. Outro inventou uma citação judicial que acabou em documentos legais.
Assédio e conteúdo abusivo
O agente produz conteúdo abusivo, ameaçador ou não consensual dirigido a uma pessoa. Exemplos incluem respostas ameaçadoras e ferramentas usadas para criar imagens íntimas não consensuais.
Exposição de dados e controlo de acesso
Um controlo fraco no sistema de agente de IA revela informações privadas. Causas comuns incluem links de partilha abertos, armazenamento não encriptado e acesso não autorizado a ficheiros. O material exposto pode incluir dados pessoais, conversas guardadas, credenciais ou código fonte.
Como as categorias se encaixam
As categorias de exploits de segurança envolvem atacantes que encontram e exploram fraquezas. As categorias de segurança e barreiras de proteção não precisam de atacante; os próprios controlos do agente falham. A exposição de dados situa-se entre as duas: uma falha de design ou configuração divulga dados sensíveis, esteja ou não um atacante envolvido. Um único incidente pode tocar mais do que uma categoria. Para um catálogo limpo, cada incidente é atribuído à sua categoria principal com base na fraqueza central.
Metodologia de vulnerabilidade de agentes de IA
Âmbito e definição
O catálogo cobre vulnerabilidades de agentes de IA. Três tipos de incidente qualificam-se: exploits de segurança (como injeção de prompt ou código que corre num hospedeiro), falhas de segurança e barreiras de proteção (como conselhos prejudiciais ou alegações falsas sobre uma pessoa real) e falhas de exposição de dados.
Vários tipos de incidentes ficam fora do âmbito: disputas de direitos de autor e licenciamento, enviesamento genérico ou produção de estereótipos, erros factuais sem danos, casos em que uma pessoa usou o modelo como ferramenta para construir malware ou golpes, disputas regulatórias e queixas operacionais.
Fontes
O catálogo baseia-se em três camadas de evidência. As fontes primárias lideram. Documentos de fornecedores e notícias preenchem lacunas quando um fornecedor é o divulgador ou o único registo.
A primeira camada é um conjunto de incidentes datados e específicos de produtos, provenientes de avisos e investigação de segurança. Os avisos incluem a National Vulnerability Database (NVD),1 o Microsoft Security Response Center (MSRC),2 e a GitHub Advisory Database (GHSA).3 Estes são registos públicos que descrevem uma falha específica. A investigação de segurança provém das empresas que encontraram as falhas, como Noma Security, Check Point, Tenable, Wiz e Zenity.
A segunda camada é o OWASP Exploits and Incidents Tracker, do Apêndice D do Top 10 da OWASP para Aplicações Agênticas (2026).4 As suas entradas são reproduzidas com atribuição.
A terceira camada é a IA Incident Database (AIID), um registo aberto e revisto por pares de danos de IA. A AIID contém mais de 1.500 incidentes em todos os tipos de sistemas de IA.5
Como os incidentes foram selecionados
O sistema usa alguns filtros de palavras-chave para identificar incidentes de IA. Este filtro inclui palavras-chave específicas como:
1. Reconhecimento de sistema agêntico/LLM: chatbot, chat bot, large language model, language model, LLM, generative IA, GPT-3/GPT-4, ChatGPT, Gemini, Google Bard, Copilot, Claude, Llama, Grok, DeepSeek, Character.ai, Replika, Bing Chat, IA assistant, virtual assistant, IA agent, agentic, conversational IA, coding assistant, IA companion, TayBot
2. Sinais de exploits de segurança: prompt injection, indirect prompt injection, jailbreak/jailbroke, exfiltrate, remote code / code execution / RCE, arbitrary code, command injection, injected command/code/instruction, backdoor, malicious package/MCP/server/tool/extension, supply chain, memory poison, poisoned memory/RAG/context, hijack, takeover, exploit, credential, token theft/leak, privilege escalation, bypass guard/filter/safety/auth/sandbox, deleted/wiped/destroyed/erased, transfer … $/million, agrees to sell, tricked, manipulated … agent/bot, fraudulent prompt
3. Sinais de segurança/barreiras de proteção: suicide, self-harm, overdose, minor/child/teen, CSAM, underage, grooming, predator, weapon, bomb, explosive, mass shooting, stabbing, body-disposal, homicide, assassinate, hammer attack, attack guidance/planning, defame, false accusation/allegation, fabricate, hallucinate, libel, harass, non-consensual, nudify, intimate image, dangerous advice/instruction, unsafe medical advice, sodium bromide, bromism, hospitalize, eating disorder, diet advice, drug-use, died/death after/following, threaten/threatening, hate speech, reinforced delusion
4. Exposição de dados: expose/exposed/exposure, leaked, breach, disclose, access cached + (data / records / conversations / emails / credentials / API key / source code / applicants / patients / users), unencrypted, stored passwords/SSN, reads files without consent, uploaded sensitive
5. Sinais de EXCLUSÃO copyright, plagiarism, infringe, pirated, LibGen, Books3, unauthorized training, GDPR, legal basis, practiced law / without a license, cheating, school assignment, exam, sues OpenAI, bias, stereotype, racist, sexist, antisemitic, offensive remark, disinformation, propaganda, influence business operation, romance scam, ransomware, spam, investment scam, fraud scheme, surveillance, misinforms about geography, reward function
6. Para atribuições de categoria:
- Desvio de objetivos do agente (ASI01): prompt injection, jailbreak, manipulate, agrees to sell, hijack
- Execução de código inesperada (ASI05): RCE, code execution, command injection, arbitrary code
- Cadeia de fornecimento agêntica (ASI04): malicious package/MCP, supply chain, backdoor
- Falhas em cascata (ASI08): deleted, wiped, destroyed, erased
- Uso indevido de ferramentas (ASI02): transfer … $/million, trading agent
- Abuso de identidade e privilégios (ASI03): credential, token theft, privilege escalation, takeover, account compromise
- Segurança de menores: CSAM, grooming, predator, minor + sexual
- Autoagressão e saúde mental: suicide, overdose, delusion, eating disorder
- Violência e assistência perigosa: mass shooting, stabbing, weapon, attack planning, hate speech
- Conselhos de saúde/médicos prejudiciais: sodium bromide, bromism, unsafe medical advice
- Difamação e fabricação: defame, false accusation, fabricate, hallucinate, falsely accuse
Revisão humana
O catálogo não é obra apenas da automação. Um passo automatizado reuniu e ordenou os incidentes em escala. A equipa reviu depois as entradas manualmente: cada sistema afetado foi verificado, cada categoria foi confirmada e cada link de fonte foi aberto para verificar se funcionava e sustentava a alegação. A decisão final sobre cada entrada cabe aos autores.
Lista dos incidentes relacionados com vulnerabilidade de agentes de IA
Adicionar como fonte preferencialCite esta pesquisa
Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.
@misc{phd2026,
author = {PhD., Ezgi Arslan,},
title = {{Vulnerabilidade de Agentes de IA com 192 Incidentes Reais}},
year = {2026},
month = jun,
howpublished = {\url{https://aimultiple.com/ai-agent-vulnerability}},
note = {AIMultiple. Acessado em 28 Junho 2026}
}Links de referência
A seguir, leia
Benchmark de IA para VC: 11 Agentes de IA em Tarefas Reais de Capital de Risco
Sinais de Expansão Descontrolada de Agentes de IA & Checklist para Gerenciar a Expansão
Comparação de Desempenho dos 5 Principais Provedores de VPN
Seja o primeiro a comentar
Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.