Segurança da informação na era da IA:
o que muda e o que proteger

A segurança da informação continua apoiada em três propriedades

O tripé clássico da segurança da informação vale para modelos e agentes. O que muda é o lugar onde cada propriedade pode falhar:

• Confidencialidade: o dado chega só a quem tem permissão. Com IA, isso inclui o prompt, a resposta e o que fica registrado no serviço que processou a chamada.
• Integridade: dados e decisões não mudam sem autorização. Com agentes, a ameaça inclui a instrução externa que altera o comportamento do agente e o documento adulterado recuperado como fonte.
• Disponibilidade: um processo que depende de um modelo externo herda a disponibilidade, os limites de uso e as mudanças de termos desse fornecedor.

Com um agente, surge um intermediário que lê conteúdo de várias origens, monta um contexto e age em outros sistemas. Cada etapa é um ponto novo de controle.

A IA generativa traz riscos que a segurança da informação precisa nomear

O perfil de IA generativa publicado pelo NIST em 2024 trata a segurança da informação como um dos riscos que a tecnologia cria ou agrava. Na rotina de uma empresa, seis superfícies concentram a atenção:

• Injeção de prompt: uma instrução escondida em documento, e-mail ou página que o agente lê passa a ser tratada como ordem, como o e-mail de fornecedor com um pedido oculto para encaminhar a conversa a um endereço externo.
• Vazamento por resposta: a pergunta sobre o orçamento de um projeto traz o salário de quem aparece na planilha de custos guardada na mesma pasta.
• Exposição a terceiros: o conteúdo enviado a um serviço externo fica sujeito aos termos de retenção e à região de processamento do fornecedor.
• Envenenamento de dados: uma página da base de conhecimento editada com um procedimento falso passa a orientar as respostas como se fosse fonte legítima.
• Cadeia de fornecimento: modelos, plugins e servidores de ferramentas sem avaliação de origem entram no ambiente com acesso a dados e credenciais.
• Agentes com credenciais amplas: um token com escrita no ERP e no e-mail transforma uma injeção bem-sucedida em pagamento alterado ou mensagem enviada.

Os controles conhecidos de segurança da informação continuam valendo

A gestão de identidade dá a cada agente uma conta própria. O menor privilégio limita cada ferramenta ao acesso que a tarefa exige. A segmentação impede que um agente em teste alcance dados de produção.

Registro e monitoramento seguem como base da investigação. A gestão de fornecedores passa a incluir provedores de modelo e de ferramentas. O plano de resposta a incidentes ganha cenários como revogar a credencial de um agente e reconstruir quais respostas ele deu.

A LGPD continua exigindo finalidade, necessidade e medidas de segurança no tratamento de dados pessoais feito por modelos, e cada fluxo de IA que toca dado pessoal entra no registro das operações de tratamento mantido pelo controlador (LGPD, art. 37), acompanhado pelo DPO.

Controles específicos para IA tratam conteúdo não confiável e ações do agente

Outros controles existem porque modelos processam instrução e conteúdo no mesmo fluxo de texto:

1. Separar instrução de dado não confiável: conteúdo externo entra marcado como dado, e as ferramentas do agente se restringem enquanto ele o processa.
2. Filtrar por permissão antes do modelo: o dado restrito sai na consulta à fonte e não chega ao contexto.
3. Revisão humana para ações de maior consequência: pagamento, envio externo e exclusão passam pela aprovação de uma pessoa.
4. Avaliação de fornecedores de modelo: retenção, uso para treinamento e região de processamento entram no processo de contratação.
5. Testes adversariais: o time de segurança testa os fluxos com conteúdo manipulado antes da produção e a cada troca de modelo.
6. Registro de cada consulta e resposta: quem perguntou, quais fontes foram lidas, o que voltou e qual ação foi executada.

O Company Brain reduz o que sai do perímetro e registra cada resposta

O Company Brain conecta CRM, ERP, helpdesk e documentos uma vez e organiza esses dados em um grafo de conhecimento, com ontologia do negócio e camada semântica. As bases permanecem no ambiente do cliente, sem cópia para o provedor do modelo.

A cada pergunta, o modelo recebe via MCP apenas o recorte mínimo que a resposta exige, já filtrado pela permissão herdada do sistema de origem. Com modelo em serviço externo, esse recorte sai do perímetro naquela chamada e segue os termos do fornecedor. Com modelo em infraestrutura própria, ele também fica dentro.

Cada resposta cita o sistema e o registro de origem. Para a segurança da informação, isso permite reconstruir um incidente: quem perguntou, quais fontes foram lidas e com qual permissão.

Nenhuma arquitetura elimina o risco da injeção de prompt

A injeção de prompt segue como problema em aberto. As técnicas conhecidas reduzem a chance de sucesso sem separar instrução e conteúdo com garantia, e o controle mais eficaz limita o que o agente faz depois de ler conteúdo externo.

O Company Brain também herda os limites das fontes. Uma permissão mal configurada na origem chega igual à resposta, e um documento adulterado continua adulterado até alguém corrigi-lo. A segurança da informação com IA continua exigindo time de segurança, testes periódicos, revisão de acessos e processo de resposta a incidentes.

A segurança da informação com IA começa por dois inventários

O primeiro lista os fluxos em que dado sai do perímetro, como chamadas a modelos externos, extensões e automações, com qual dado sai, para qual fornecedor e sob quais termos.

O segundo cobre as credenciais que agentes usam: quais contas, com qual escopo, em quais sistemas e com permissão de escrita ou só de leitura. Os fluxos que combinam conteúdo externo, dado sensível e credencial de escrita são os primeiros candidatos a filtro por permissão, revisão humana e registro completo de consultas.