Segurança de IA na velocidade das máquinas: um guia para a segurança de aplicações modernas

• Espera-se que o uso de inteligência artificial (IA) nas empresas cresça mil vezes até 2027, criando um nível de interação automatizada que a segurança tradicional não consegue gerenciar.
• Embora 87% das organizações tenham enfrentado um incidente de segurança relacionado a APIs no ano passado, apenas 18% se sentem preparadas para lidar com ataques em APIs vinculadas à inteligência artificial.
• A adoção de agentes de IA não lineares e do vibe coding tem priorizado a implementação rápida em detrimento de uma arquitetura de segurança robusta.
• As novas interações entre agentes (A2A) significam que a sua segurança agora depende da integridade dos ecossistemas de inteligência artificial de terceiros.
• Para manter a inovação, as organizações precisam adotar um modelo de execução em camadas que priorize a descoberta contínua e a implementação de medidas de segurança em tempo real.

Os artigos recentes sobre tecnologia parecem histórias de terror para as equipes de segurança modernas. Um artigo recente analisou como uma injeção de comando indireta pode explorar comportamentos confiáveis de aplicações para extrair silenciosamente dados financeiros corporativos confidenciais, registros e informações de telemetria. E outro discutiu um agente de programação de IA que apagou um banco de dados de produção com uma única chamada de API.

E esses são apenas dois exemplos dos desafios que as equipes de segurança de aplicações enfrentam atualmente. O atrito surgiu à medida que as empresas deixaram de experimentar a inteligência artificial generativa e passaram a investir bilhões para integrá-la profundamente em seus processos principais. As unidades de negócios exigem implantações em altíssima velocidade, enquanto as equipes de segurança se veem diante de uma rede de APIs em constante crescimento, sem documentação e fora de controle.

No entanto, se tornar um obstáculo a essa onda de inovação não é uma opção viável para as equipes de segurança atuais. Proibições gerais não funcionam. Em vez disso, as equipes de segurança devem se tornar facilitadoras da inteligência artificial. 

Isso é, claro, mais fácil de falar do que de fazer, pois a dinâmica mudou. Enquanto as  chamadas de aplicações tradicionais seguem uma lógica previsível, os agentes de IA são não lineares e frequentemente sobrecarregam os endpoints para atingir um único objetivo do usuário. 

O resultado não é apenas um aumento de volume, mas também uma transformação da superfície de ataque. Na verdade, a IDC prevê que, até 2027, o uso de agentes pelas empresas do Global 2000 aumentará dez vezes, enquanto a carga de tokens e chamadas de API crescerá mil vezes. 

E as empresas não acham que estão preparadas.

Nosso Estudo sobre o impacto da segurança de APIs de 2026 revela que as capacidades de defesa não estão acompanhando o ritmo do desenvolvimento.

No ano passado, 87% dos 1.840 profissionais de segurança entrevistados por nós enfrentaram um incidente de segurança relacionado a APIs. Mais significativo ainda é o fato de que 42% desses incidentes envolveram APIs diretamente relacionadas às suas tecnologias de inteligência artificial, desde aplicações de IA voltadas para o cliente até agentes que operam nos bastidores. 

Apesar desses números, apenas 18% dos entrevistados se sentem totalmente preparados para lidar com esses ataques. Eles estão diante de uma situação em que a principal superfície de ataque é justamente aquela que menos compreendem.

As equipes de segurança parecem compreender as implicações disso. Quando questionados sobre os riscos associados às APIs vinculadas a grandes modelos de linguagem (LLMs), os entrevistados destacaram três principais preocupações: APIs que vazam informações confidenciais ou podem ser usadas para extração de dados; ataques em que invasores exploram endpoints de APIs não seguras vinculadas a LLMs; e injeções de comandos maliciosos, nas quais as APIs executam ações com base em saídas maliciosas. 

O surgimento do desenvolvimento assistido por inteligência artificial, muitas vezes chamado de vibe coding, não ajudou a melhorar a situação. Esta abordagem prioriza a produção rápida e a demonstração de funcionalidades em detrimento de testes de segurança rigorosos.

Embora isso aumente a produtividade, muitas vezes resulta em APIs com autenticação insegura ou vazamento de informações confidenciais em caso de erros. Agora, os invasores estão usando a inteligência artificial generativa para explorar essas falhas na mesma velocidade em que elas são criadas.

Isso torna o gateway essencial. Os gateways de IA precisam evoluir para incluir registros de agentes e verificação de clientes, a fim de reduzir riscos.

À medida que as empresas avançam rumo à comunicação entre agentes (A2A), o cenário de ameaças cresce exponencialmente. Sua segurança já não está mais limitada à sua infraestrutura interna.

Se um agente interno utilizar uma ferramenta de inteligência artificial externa para análise e essa ferramenta estiver comprometida, ela poderá inserir dados maliciosos de volta no seu sistema. Isso cria uma "cadeia de envenenamento" na qual a extração não autorizada de dados ocorre sem qualquer intervenção humana direta.

Essas negociações automatizadas ocorrem em milissegundos. Sem visibilidade em tempo real, essas interações só são percebidas muito tempo depois que a violação já ocorreu.

Para deixar de ser um obstáculo e se tornar um facilitador da inteligência artificial, as equipes de segurança precisam encontrar uma maneira de apoiar a inovação de forma segura. A solução é um modelo de execução em camadas que garanta a segurança da aplicação em todos os níveis, desde a conexão inicial da API até a saída final do modelo.

Essa estratégia concentra-se em três fases essenciais:

1. Descoberta contínua
2. Aplicação de políticas de gateway
3. Fortalecimento durante o tempo de execução

Vá além da documentação estática e utilize a descoberta de comportamento em tempo real para mapear APIs sombra e servidores de contexto não monitorados com base no tráfego em tempo real. Ao vincular as vulnerabilidades do ambiente de execução diretamente ao repositório do desenvolvedor, as equipes podem identificar e corrigir os problemas de forma muito mais rápida.

Encaminhe todo o tráfego de IA, tanto interno quanto externo, por meio de um gateway gerenciado que seja compatível com IA. Isso cria um ponto centralizado de controle para aplicar limites de taxa, gerenciar credenciais e migrar de chaves de API genéricas para identidades de agentes com permissões específicas.

Implemente firewalls de conteúdo e lógica específicos para avaliar entradas e saídas em tempo real. Essas ferramentas funcionam como barreiras de proteção ativas, neutralizando ataques de injeção de prompts maliciosos e redigindo automaticamente dados confidenciais, como informações de identificação pessoal, antes que eles cheguem a um modelo de linguagem de terceiros ou a um banco de dados vetorial interno. 

Ao definir a visibilidade como um requisito essencial para a proteção, os líderes podem abandonar soluções fragmentadas e pontuais e construir uma defesa unificada que reduz riscos sem comprometer o ritmo dos negócios.

Este artigo abordou algumas das principais áreas de risco, mas a história vai muito além disso. Nosso guia estratégico ajuda profissionais de segurança a gerenciar a transição para uma postura de inteligência artificial mais resiliente. Baixe o guia para descobrir como a Akamai pode ajudar a eliminar a lacuna de visibilidade ainda hoje.