O incidente do Pentágono não é uma falha da IA, e sim uma falha de controle de acesso

Quem de fato expôs os dados: o agente de IA ou a pessoa que lhe entregou as chaves? É fácil ler o incidente do Pentágono como a história de uma máquina descontrolada que entrou numa rede restrita. Com base no que foi divulgado até agora, foi uma pessoa que a levou para dentro e segurou a porta aberta.

O que foi relatado

Segundo a Wired, um funcionário da Accenture teria conectado um ambiente de produção seguro à sua conta pessoal do Claude para que um agente de IA escrevesse e implantasse código. Outros veículos, como a CDO Magazine, dizem que isso pode ter exposto credenciais de acesso e informações da rede. O relato da Wired se baseia em fontes anônimas e, de acordo com o resumo do aiweekly.co, o agente operou na rede do Departamento de Defesa por cerca de dois meses antes de alguém identificá-lo.

O veículo alemão Golem afirma que dados aparentemente saíram do sistema. Alguns sites menores vão além e falam em informações de inteligência expostas, mas tratamos esses detalhes com cautela até que surja algo mais sólido. Continua sendo uma alegação, e o alcance exato da exposição não está estabelecido.

O agente fez o que agentes fazem

Pegue o detalhe mais comprometedor: o agente teria trabalhado com acesso administrativo. Um agente que escreve e implanta código precisa de credenciais para isso. Ele usou o que recebeu. Culpar a «IA» aqui é como culpar um entregador por entrar num prédio depois que alguém lhe deu uma chave-mestra.

Na nossa visão, a falha interessante é a humana, e é antiga. As reportagens não dizem por que o funcionário fez isso, mas o padrão é familiar: alguém recorre a uma ferramenta em que confia e a conecta a algo em que ela nunca deveria ter encostado. Troque o agente por uma conta pessoal de armazenamento na nuvem ou por um script num notebook de casa e você terá uma história parecida. O que mudou é que a ferramenta agora age por conta própria, rápido e com as permissões que receber.

É por isso que isso é mais perigoso do que o shadow IT a que estamos acostumados. Uma planilha esquecida fica parada. Um agente com permissão de implantação continua trabalhando e, neste caso, teria continuado por cerca de dois meses.

Agentes precisam de identidades, não de logins emprestados

A solução prática não é «banir agentes». É tratá-los como o que são: um novo tipo de ator na rede. Na nossa opinião, isso significa algumas medidas pouco glamorosas:

• Identidade própria. Um agente nunca deveria rodar com a conta do seu usuário humano e, certamente, nunca como administrador. Se algo der errado, os registros devem dizer «o agente X fez isto», e não «a Alice fez isto».
• Escopo restrito. Acesso de leitura a um único repositório é um pedido razoável. Acesso administrativo a um ambiente de produção não é ponto de partida.
• Revogável e de curta duração. Credenciais que expiram sozinhas e podem ser cortadas em uma única etapa transformam um incidente de dois meses em um de duas horas.
• Visibilidade. O detalhe que nos marca são os dois meses. Segundo as reportagens, o agente operou num ambiente seguro por todo esse tempo antes de ser identificado. Isso parece tanto uma lacuna de monitoramento quanto de permissões.

Repare que nada disso tem a ver com o modelo. Valeria da mesma forma para qualquer ferramenta autônoma, de qualquer fornecedor.

Com terceirizados, as regras são mais frágeis

A outra lição é organizacional, e aqui especulamos sobre como essas brechas costumam surgir, sem descrever o que aconteceu neste caso. Um terceirizado fica entre as políticas de duas empresas, e cada uma pode supor que a outra está cuidando do problema. A empregadora pode dizer que as regras do cliente valem nos sistemas do cliente, enquanto o cliente pode supor que todo mundo com crachá foi informado. Some um terceirizado pressionado por um prazo, com uma assinatura pessoal de IA que facilita o trabalho, e a tentação é óbvia.

Esperamos, e isto é uma previsão, que o uso de agentes passe a constar explicitamente nos contratos com terceirizados: quais ferramentas são permitidas, em quais sistemas, com quais contas e com que registro de atividade. Ninguém deveria ter de deduzir que uma conta pessoal de IA não pertence a um sistema de produção seguro. Regras que existem apenas como bom senso não sobrevivem a um prazo apertado.

Vale notar também que a Anthropic, cuja ferramenta está no centro das manchetes, aparece nas reportagens como o produto escolhido pelo funcionário, e não como a parte que tomou a decisão de acesso. Essa distinção importa, mesmo que seja razoável perguntar ao fornecedor que proteções ele oferece para uso corporativo e governamental.

Nosso veredito

Se você lidera uma equipe, não gaste esta semana debatendo se os agentes são seguros. Use-a para descobrir quais agentes seu pessoal já usa, em nome de quem e com quais permissões. Depois, dê a esses agentes identidades próprias, com escopo restrito e prazo de validade, e coloque as regras para terceirizados no papel. O episódio do Pentágono, se as reportagens se confirmarem, é o aviso barato. O próximo pode não ser.