Por Nuno Teixeira, Senior Consultant | Data, Analytics & AI da Rumos Consulting
Com a Inteligência Artificial (IA), o perímetro de segurança deixou de depender de apenas de muros: proteger dados exige governar o caminho que percorrem, desde a instrução que os invoca até à integração que os exporta. O perímetro de segurança tornou-se conversacional.
Durante quase três décadas, a segurança da informação organizou-se em torno do modelo tradicional de perímetro de segurança. A estratégia consistia em proteger a organização através de sucessivas camadas de defesa, salvaguardando identidades, aplicações, cloud, rede, endpoints e dados como quem reforça as portas sucessivas de um edifício, uma lógica alinhada com normas como a ISO 27001, que estruturam a segurança com base na gestão de risco, em torno de controlos e na proteção de ativos.
O Microsoft Digital Defense Report 2025 mostra que este modelo ficou incompleto. À superfície clássica somam-se cinco novas áreas de superfície de ataque nascidas da adoção da inteligência artificial generativa (generative AI): as instruções e respostas de IA generativa (GenAI prompts and responses), os plugins e funções, os modelos de IA, os dados e a orquestração de IA, e os dados web e o contexto de origem. Não se trata apenas de uma extensão do problema anterior, mas sim de uma mudança na forma de o gerir: estas novas superfícies não se defendem com muros, mas sim com contexto, com governança de dados e com desconfiança metódica.
IA: o novo intermediário de risco
A leitura mais útil do relatório não está na enumeração das ameaças, mas na transformação da tecnologia num intermediário de risco. A IA é uma ferramenta de produtividade, mas também passou a ser um “intermediário de risco”: recebe informações de origens que não controlamos, interpreta segundo instruções que nem sempre são as nossas e age depois sobre sistemas onde tem credenciais legítimas. Um servidor mal configurado é uma porta aberta; um modelo de linguagem ligado ao correio eletrónico, ao repositório documental e ao sistema de faturação comporta-se como um colaborador diligente, com acesso privilegiado e sem qualquer instinto de suspeita, o que o torna um agente manipulável por um atacante persistente e com intento malicioso.
Daqui decorre a primeira implicação operacional: o perímetro de segurança passou a ser conversacional, isto é, a superfície de segurança passou a incluir interações mediadas por linguagem natural. Aquilo que antes era protegido por regras de rede é hoje mediado por texto, texto de entrada, texto de saída, texto recuperado de documentos, páginas web ou integrações externas que o modelo pode processar como uma instrução válida. Ao contrário de um pacote de rede, o texto não fornece, por si só, uma separação fiável, que distinga conteúdo e comando, nem evidencia intenção e contexto.
Deste “perímetro conversacional” decorrem quatro categorias de risco:
- Perda de controlo sobre o fluxo de dados.
Um único pedido pode mobilizar um documento interno, pesquisas externas e invocar serviços de terceiros, sem que exista um registo unificado de todo o percurso da informação. As organizações que passaram anos a mapear onde residem os seus dados descobrem agora que a pergunta relevante mudou: já não é apenas onde estão os dados, mas por onde passaram e quem lhes teve acesso pelo caminho?.
- Manipulação do comportamento do modelo para extrair dados. ~
Os ataques de injeção de instruções (prompt injection) exploram precisamente a incapacidade de o modelo distinguir dados de comandos. Na variante direta, o atacante alterar as instruções fornecidas ao modelo. Na variante indireta, a mais perigosa, porque dispensa qualquer interação com o atacante,a carga maliciosa (payload) encontra-se escondida num ficheiro, numa página web, numa mensagem de correio eletrónico ou em texto invisível ao utilizador, e é o próprio utilizador legítimo que, sem o saber, entrega esse conteúdo ao modelo. O resultado é a fuga de informação confidencial (information leakage) através de um canal em que os mecanismos tradicionais de prevenção de perda de dados (Data Loss Prevention) nunca foram concebidos para monitorizar.
- Comprometimento da integridade dos dados e das decisões.
Este é provavelmente o mais subestimado de todos. Ao contrário de um ataque clássico, não provoca indisponibilidade nem gera alertas imediatos. Produz simplesmente respostas plausíveis, mas erradas. Quando ocorre o envenenamento de dados (data poisoning), seja nos dados de treino seja nas fontes de informação consultadas pelo modelo, o impacto pode refletir-se diretamente em processos críticos e manter-se invisível durante meses.
- Expansão indireta da superfície de ataque através das integrações.
Cada plugin, cada interface de programação de aplicações (application programming interface [API]) e cada agente autónomo, acrescenta um ponto de entrada e novas credenciais de acesso. Muitas destas chaves de acesso (API keys) e tokens, permanecem ativos durante anos sem qualquer inventário, até porque raramente expiram. É aqui que nasce aquilo a que chamo a “cadeia de contexto” (context supply chain): o equivalente, no mundo da IA, à cadeia de fornecimento de software, com uma agravante significativa: a execução é automatizada e a velocidade de propagação ocorre à velocidade da máquina.
Envenenamento de dose fixa
O envenenamento de dados merece especial atenção porque a investigação recente desfez uma suposição confortável.
Um estudo conjunto do UK AI Security Institute, da Anthropic e do Alan Turing Institute, publicado em outubro de 2025, demonstrou que 250 documentos maliciosos foram suficientes para instalar uma porta traseira (backdoor) em modelos entre 600 milhões e 13 mil milhões de parâmetros. O resultado mais surpreendente, é que a eficácia do ataque se manteve praticamente constante independentemente da dimensão do modelo. Nos modelos maiores, esses 250 documentos representavam cerca de 0,00016% do total de dados de treino.
Chamemos-lhe envenenamento de dose fixa. A implicação é relevante: se o que determina o sucesso do ataque é o número absoluto de documentos e não a sua proporção relativamente ao conjunto de treino, então treinar com um maior volume de dados não é uma estratégia eficaz para diminui o risco. Produzir 250 páginas web é trivial; produzir milhões não é.
Os próprios autores delimitam o alcance do resultado, uma vez que o estudo incidiu sobre um ataque de negação de serviço (denial-of-service), que leva o modelo a gerar texto incoerente, não estando ainda demonstrado que o mesmo comportamento se verifique em modelos de fronteira ou em ataques mais sofisticados. Assim, a principal conclusão mantém-se: a proveniência dos dados de treino e de contexto deixou de ser apenas um problema de qualidade e passou a ser um problema de segurança.
Medidas de segurança para o novo perímetro conversacional
A resposta não é apenas técnica nem organizacional. Tem obrigatoriamente de combinar as duas dimensões. Entre as medidas práticas, as organizações deverão ter:
Agentes e automação: onde qualidade encontra execução
- Governação rigorosa dos dados, assente na rotulagem (data labeling), na encriptação dos dados sensíveis e na expiração automática de permissões, aplicada tanto a identidades humanas como a identidades não humanas, aplicações, scripts, agentes e interfaces;
- Políticas claras sobre os dados que podem ser utilizados em ferramentas de IA e os dados que estão proibidos, acompanhadas de formação regular, uma vez que muitas exposições não resultam de ataques, mas sim de utilização inadvertida.
- Monitorização contínua da utilização das ferramentas de IA, com registos de atividade e deteção de comportamentos anómalos, que permitam responder a três perguntas simples: que ferramentas estão a ser usadas, por quem, e com que dados;
- Proteções específicas contra a injeção de instruções, incluindo a validação de entradas, validação dos resultados antes da execução de qualquer ação e revisão humana obrigatória sempre que estejam envolvidos dados sensíveis.
- Utilização de IA defensiva, recorrendo a agentes guardiões e a exercícios automatizados de ataque simulado (automated red teaming), capazes de acompanhar a velocidade dos ataques atuais.
- Sensibilização permanente das pessoas, reforçando hábitos de validação crítica das respostas produzidas pelos modelos e da informação que lhes é disponibilizada.
Nenhuma destas medidas é realmente nova. A maioria já faz parte das boas práticas de segurança de informação. O que mudou foi o contexto em que têm de ser aplicadas e a prioridade que lhes deve ser atribuída.
Durante anos, protegemos o local onde os dados estavam armazenados. Hoje, precisamos de proteger o percurso que esses dados fazem, as instruções que os mobilizam, o contexto e as integrações em que circulam.
O novo perímetro já não é definido por firewalls, redes ou edifícios. É definido por conversas, contexto e confiança. E as organizações que compreenderem primeiro esta mudança estarão mais preparadas para aproveitar o potencial da IA sem transformar a sua maior vantagem competitiva na sua maior vulnerabilidade.
