Agentes de IA que corrigem código: o risco escondido

Imagine que você contrata alguém para trocar a fechadura da porta. A pessoa troca, testa, funciona. Só que no processo ela deixou a janela dos fundos destrancada. E ninguém foi olhar a janela, porque o pedido era sobre a porta. Foi mais ou menos isso que aconteceu na Snowflake, uma empresa de dados que fatura bilhões: um agente de IA corrigiu uma falha de segurança e, na mesma tacada, criou o caminho para invadir o Jira interno da companhia.

O detalhe que dói é que a correção foi feita por uma ferramenta boa, respeitada, usada por muita gente séria. O Copilot Autofix, da GitHub, sugere patches automáticos para vulnerabilidades encontradas no código. Alguém revisou por cima, aprovou, mergeou. O time seguiu em frente achando que tinha resolvido. Pesquisadores da Wiz encontraram o buraco depois.

O que exatamente deu errado

O alvo era um script de automação do repositório, dessas rotinas que rodam sozinhas quando alguém abre um pull request ou comenta numa issue. É código que quase ninguém lê com carinho. Não tem tela, não tem cliente vendo, só faz o trabalho chato de conectar coisas.

A falha original era conhecida: dados vindos de fora entravam direto no script. A IA gerou uma correção que tratava o caso específico apontado no alerta. Bonito. Só que o script continuou aceitando entrada não confiável por outro caminho, e esse caminho tinha acesso às credenciais que a automação usa para conversar com o Jira. Resultado: quem soubesse escrever o comentário certo num lugar público podia fazer o robô da Snowflake trabalhar para ele lá dentro.

Repare na mecânica, porque ela se repete em contexto nenhum parecido com programação:

• A IA respondeu exatamente a pergunta que foi feita.
• A pergunta era estreita demais.
• Ninguém checou o entorno, porque o alerta tinha ficado verde.

O alerta verde é o vilão silencioso dessa história. Um problema em aberto incomoda, gera reunião, alguém cobra. Um problema marcado como resolvido some do radar para sempre.

Por que isso interessa a quem não escreve código

Você pode estar pensando que isso é assunto de time de engenharia. Não é. Troque "script de CI/CD" por qualquer automação que roda no seu negócio hoje.

O agente que responde e-mail de cliente. O robô que puxa pedido do WhatsApp e joga no ERP. A rotina que lê nota fiscal e lança no financeiro. A IA que triagem currículo e move candidato de etapa. Todos esses têm a mesma anatomia: recebem dado de fora, têm alguma credencial guardada, e agem sem ninguém olhando.

Já vi um caso menor com a mesma cara. Uma automação de atendimento que criava ticket a partir do formulário do site. Alguém descobriu que dava para escrever no campo "assunto" um texto que a IA lia como instrução e não como conteúdo. O ticket virava uma consulta ao banco de clientes, e a resposta voltava para a pessoa no e-mail de confirmação. Ninguém tinha invadido nada. A porta estava aberta por design, e a IA foi educada demais para desconfiar.

Automação não erra pouco. Ela erra rápido e em silêncio.

O ponto cego é a IA revisando a própria IA

Aqui vai minha opinião forte do artigo: o padrão mais perigoso que está se espalhando em 2026 é a IA aprovando o trabalho da IA.

O fluxo virou comum. Um agente escreve. Outro agente revisa. Um terceiro roda os testes que o primeiro escreveu. No papel parece rigor. Na prática, os três compartilham o mesmo ponto cego, porque leram o problema pelo mesmo enquadramento. É como pedir para três pessoas conferirem a soma da conta quando o erro está no cardápio.

E tem um efeito psicológico junto. Quando o texto do patch chega bem escrito, com explicação clara e justificativa convincente, o humano revisa menos. Um pull request de IA parece mais confiável que um de estagiário, mesmo quando é pior. Confiança gerada por boa redação é a coisa mais barata que existe hoje.

Não estou dizendo para largar as ferramentas. Uso agentes de IA todo dia e eles me poupam horas reais. Estou dizendo que a revisão precisa vir de um ângulo diferente do que gerou a mudança.

Como usar agentes de IA sem esse tipo de surpresa

O que funciona não é complicado, é chato. E chato é justamente o que gente pula.

Separe quem pode agir de quem pode só falar. Se um agente lê pedidos de clientes, ele não deveria ter a mesma credencial que cria usuários no sistema. Duas contas, dois níveis. Isso resolve metade dos incidentes que existem.

Dê a menor permissão possível, não a mais confortável. A automação da Snowflake tinha acesso amplo ao Jira porque um dia foi mais fácil assim. Quase toda credencial larga demais começou como economia de tempo numa tarde corrida.

Trate entrada externa como suspeita, sempre. Comentário de usuário, formulário, e-mail, mensagem de WhatsApp, nome de arquivo. Nada disso é instrução. É conteúdo. Se sua automação não faz essa distinção, ela vai obedecer o primeiro estranho educado que aparecer.

Peça o contexto, não só a correção. Quando um agente propõe uma mudança, a pergunta útil não é "isso resolve?". É "o que mais toca esse arquivo, e o que essa mudança passa a permitir que antes não permitia?".

Coloque um humano no ponto de dinheiro e de dado sensível. Não em tudo. Em transferência, cadastro de fornecedor, envio em massa, exclusão. O resto pode rodar sozinho.

Revise o que já está verde. Uma vez por trimestre, abra o que foi marcado como resolvido por automação e olhe de novo. É a auditoria mais barata que existe e ninguém faz.

O tamanho certo da desconfiança

Nada disso significa medo. Significa calibragem.

A Snowflake não é uma empresa desleixada. Tem time de segurança, tem processo, tem ferramenta boa. Mesmo assim, um patch automático gerou uma porta nova. Se acontece lá, acontece na sua operação de 20 pessoas, com a diferença de que lá alguém achou antes de virar notícia ruim.

O jeito saudável de pensar em agente de IA é como um funcionário novo, rápido, incansável e literal. Ele vai fazer exatamente o que você pediu, no prazo, sem reclamar. E é justamente por isso que o cuidado tem que estar no pedido e no limite de acesso, não na esperança de que ele use bom senso. Bom senso é a única coisa que ele não tem.

A automação bem feita não é a que faz mais coisa sozinha. É a que sabe onde parar e chamar alguém.

Se você está montando automações com IA no seu negócio e quer que alguém olhe o desenho antes que ele vire problema, dá uma olhada em como eu trabalho. Meia hora de conversa costuma economizar bastante dor de cabeça depois.

Um agente de IA da Snowflake corrigiu uma falha de segurança e, no mesmo commit, abriu a porta para invadirem o Jira interno da empresa.

O patch estava certo. A pergunta é que era estreita demais.

O alerta ficou verde, ninguém olhou o entorno, e problema resolvido some do radar pra sempre.

Isso não é assunto só de time de engenharia. Troque "script de CI/CD" pelo robô que lê seu WhatsApp e joga pedido no ERP. Mesma anatomia: recebe dado de fora, guarda credencial, age sem ninguém olhando.

O padrão mais perigoso de 2026 é IA aprovando o trabalho da IA. Três agentes conferindo a soma quando o erro está no cardápio.

Agente de IA é funcionário novo, rápido e literal. Bom senso é a única coisa que ele não tem, então o cuidado precisa estar no pedido e no limite de acesso.

Se você está montando automações com IA no seu negócio, vale olhar o desenho antes que ele vire problema. Chama aqui.

#InteligenciaArtificial #Automacao #SegurancaDaInformacao #Tecnologia #Negocios