Agentes de IA no código: quando o conserto abre a porta

Você aprovou uma correção porque o sistema disse que ela resolvia um problema de segurança. Semanas depois, descobre que foi justamente essa correção que deixou a porta aberta. Foi mais ou menos isso que aconteceu com a Snowflake, e o caso é um ótimo retrato de como os agentes de IA estão mudando o jeito que as empresas trabalham, para o bem e para o mal.

Não precisa ser dev para entender. Prometo.

O que aconteceu no caso Snowflake

A Snowflake é uma empresa gigante de dados. Tem time de segurança, processos, auditoria. Não é o sobrinho que faz o site no fim de semana.

Ela usa o GitHub para guardar código. E o GitHub tem uma ferramenta chamada Copilot Autofix: a IA encontra um problema no código e já sugere o conserto pronto. Alguém da equipe olha, clica em aprovar, e pronto.

Pesquisadores da Wiz, uma empresa de segurança, rodaram um agente próprio de caça a falhas. E ele achou algo curioso: uma dessas correções geradas por IA, aplicada na parte que automatiza testes e publicações do código, criou uma brecha nova. Por esse caminho, alguém de fora conseguia fazer o sistema da empresa executar comandos e chegar a credenciais internas. Com elas, dava para mexer no Jira da Snowflake, a ferramenta onde a equipe organiza tarefas, bugs e projetos.

A falha foi reportada e corrigida. Ninguém saiu com o cofre. Mas o recado ficou.

Repare na ironia. A IA foi chamada para tapar um buraco. Tapou um e abriu outro, num lugar mais sensível. E um humano aprovou, porque parecia certo.

Por que isso importa se você não tem um time de TI

Você pode estar pensando: "Diego, eu tenho uma clínica. Uma loja. Uma empresa de 15 pessoas. Não uso GitHub."

Justo. Mas troque os nomes e a história é a mesma:

• O agente de IA que responde clientes no WhatsApp e tem acesso ao seu sistema de pedidos.
• A automação que lê e-mails e lança notas no financeiro.
• O assistente que "organiza" sua planilha de clientes e tem permissão para apagar linhas.

Em todos esses casos, você tem uma IA que age, não só conversa. E toda IA que age tem uma chave na mão. A pergunta é: quais portas essa chave abre?

No caso Snowflake, a chave abria mais portas do que deveria. E ninguém percebeu até alguém de fora testar.

Agentes de IA erram diferente de gente

Um funcionário novo que não sabe fazer algo costuma hesitar. Pergunta. Demora. Faz cara de dúvida.

A IA não faz cara de dúvida. Ela entrega uma resposta limpa, bem formatada, com tom confiante. Mesmo quando está errada.

Isso muda a psicologia de quem revisa. Quando o conserto vem de uma ferramenta com o selo de uma empresa grande, com a etiqueta "correção de segurança", a tendência é confiar. Você lê por cima, vê que faz sentido e aprova. Eu já fiz isso. Você provavelmente também, com um contrato, um orçamento ou um relatório.

A IA não erra com cara de erro. Ela erra com cara de solução.

Essa é a parte perigosa. Não é que a IA seja burra. É que ela é convincente, e a gente relaxa diante do convincente.

O problema não é a IA, é a permissão

Aqui vai minha opinião forte: a maioria dos desastres com agentes de IA não vai ser culpa da IA. Vai ser culpa de quem deu acesso demais a ela.

Pense assim. Se você contrata um estagiário para arrumar o estoque, não entrega a senha do banco junto. Não porque ele seja desonesto. Porque ele não precisa daquilo para arrumar o estoque.

Com IA, a gente faz o contrário o tempo todo. Conecta o agente na conta principal do Google. Dá acesso de administrador no sistema porque "é mais fácil de configurar". Usa a mesma senha para tudo porque a integração pedia uma e aquela estava à mão.

No caso da Snowflake, o problema central foi esse: um processo automático rodando com mais poder do que precisava, num lugar onde um estranho conseguia influenciar o que ele fazia. A IA só deixou o caminho pronto.

Como usar agentes de IA sem expor sua empresa

Não estou dizendo para fugir da IA. Eu construo agentes para clientes toda semana. Eles economizam horas reais. Uma clínica que atendi parou de perder agendamento fora do horário. Um escritório cortou pela metade o tempo de triagem de e-mails.

Mas tem regras que eu sigo sempre. São simples, e servem para qualquer tamanho de empresa.

1. Acesso mínimo. O agente só enxerga o que precisa para fazer a tarefa. O robô de atendimento consulta horários. Ele não precisa ver o faturamento.

2. Separe leitura de ação. Deixar a IA ler é uma coisa. Deixar ela apagar, pagar, enviar ou publicar é outra. Ações que não têm volta passam por um humano.

3. Aprovar é trabalho, não clique. Se alguém da equipe aprova o que a IA sugere, essa pessoa precisa saber o que está aprovando. Se ela não entende, a aprovação é teatro. Melhor não ter o botão.

4. Credencial própria para cada automação. Nada de usar a sua senha pessoal na integração. Cada agente com a própria chave, que você consegue cancelar em um minuto se algo der errado.

5. Registro de tudo. Toda ação do agente fica anotada: o que fez, quando, com base em quê. Quando der problema, e uma hora dá, você descobre em minutos, não em semanas.

Nenhuma dessas regras exige ferramenta cara. Exige alguém pensar nisso antes de ligar o agente, e não depois do susto.

E se eu já tenho agentes rodando?

Faça um teste rápido. Pegue cada automação ou assistente que você usa hoje e responda três perguntas:

1. Que contas e sistemas ele acessa?
2. O que ele consegue fazer sozinho, sem ninguém aprovar?
3. Se amanhã ele fizesse a pior coisa possível com esse acesso, qual seria o estrago?

Se a resposta da terceira pergunta te deu frio na barriga, você achou o ponto para ajustar. Na maioria das vezes, a correção é tirar permissões que nunca foram usadas. Leva uma tarde.

Um detalhe importante: a própria descoberta da falha na Snowflake foi feita por um agente de IA, só que do lado da defesa. Ou seja, a mesma tecnologia que criou o buraco ajudou a achá-lo. O jogo não é "IA sim ou IA não". É quem está usando, com que cuidado e com quem olhando.

A lição que eu tiro disso

Se uma empresa do tamanho da Snowflake, com time de segurança dedicado, deixou passar uma brecha criada por uma correção automática, a sua empresa também pode deixar. Isso não é motivo para pânico. É motivo para tratar agente de IA como você trata um funcionário novo com acesso ao sistema: com confiança, mas com limites claros.

A IA vai continuar ficando mais capaz. Os agentes vão fazer cada vez mais coisas sozinhos. Quem ganhar com isso vai ser quem montou a casa direito desde o começo, e não quem saiu conectando tudo em tudo para ver no que dava. Spoiler: normalmente dá em ligação desesperada numa sexta às 18h.

Se você quer colocar agentes de IA para trabalhar no seu negócio, mas com os pés no chão e as portas trancadas, eu posso ajudar a desenhar isso junto com você. Conheça meu trabalho e vamos conversar.

A IA não erra com cara de erro. Ela erra com cara de solução.

Na Snowflake, uma correção de segurança gerada por IA foi aprovada por alguém da equipe e acabou abrindo uma brecha nova, que dava acesso a credenciais internas.

O problema não foi a IA. Foi dar acesso demais e aprovar sem entender o que estava sendo aprovado.

Se você tem um agente no WhatsApp, no financeiro ou na sua planilha de clientes, pergunte: se amanhã ele fizesse a pior coisa possível com esse acesso, qual seria o estrago?

Acesso mínimo, humano nas ações sem volta e registro de tudo. Não custa caro, só exige pensar antes do susto.

Escrevi sobre isso no blog. Se quer colocar agentes para trabalhar com as portas trancadas, vamos conversar.

#InteligenciaArtificial #AgentesDeIA #SegurancaDaInformacao #Automacao #Negocios