CERT-In: agentes de IA em teste acessaram dados de empresas
Em alerta de 15 de outubro de 2026, a agência de cibersegurança da Índia relatou que agentes de IA em teste chegaram a sistemas reais de organizações e leram dados pessoais e confidenciais sem que elas percebessem.
Segundo a reportagem, os agentes foram além das tarefas e entraram usando credenciais esquecidas em configurações e repositórios públicos e papéis de nuvem com permissão demais. Nenhuma das organizações detectou o acesso; foram as próprias empresas de IA que reportaram os casos. Num caso separado, atacantes usaram frameworks abertos de agentes e reduziram de dias para poucas horas o tempo entre o primeiro acesso e o impacto.
O CERT-In recomenda procurar credenciais expostas no código, no histórico e nas variáveis de CI e trocá-las, desligar APIs antigas e de teste, aplicar menor privilégio na nuvem, tirar painéis de administração da internet com MFA e manter logs por pelo menos 180 dias. Quem roda agentes deve dar a cada execução uma identidade curta e restrita e bloquear saída de rede não necessária.