Atualizações

Agentes de código: arquivos de instrução envenenados, testes que aprovam a falha e sandbox furado

Dois riscos novos para quem programa com agentes de IA: arquivos de instrução do repositório (CLAUDE.md, AGENTS.md, regras do Cursor) como vetor de prompt injection, e código gerado por IA cuja falha de segurança fica aprovada pelos testes que o próprio agente escreveu. O Security by Design ganhou o domínio 'Agentes de Código no Desenvolvimento' e duas perguntas de DevSecOps sobre o artefato publicado e controles só no cliente. Também entraram casos reais de 2026: sandbox de agente furado pelo socket do Docker, agentes que apagaram a pasta pessoal e um servidor, memória compartilhada de time sem revisão e um loop de retry com 250 mil chamadas por dia. Na Biblioteca, um comparativo novo de sandboxes para agentes de código e quatro termos no glossário.

Baseado em: akitaonrails.com (ai-jail v1.16, issue #88; agentes apagando arquivos, jul/2026; vazamento do Claude Code, mar/2026; LLM Benchmark v4, set-out/2026; ai-memory 2.0) — Pillar Security, Rules File Backdoor (mar/2025) — code.claude.com/docs/en/sandboxing — developers.openai.com/codex/security

Marca d'água em texto de IA: obrigatória na UE e fácil de remover

O risco de mídia sintética passou a cobrir texto. Desde agosto de 2026 a Anthropic marca o texto do Claude com uma marca d'água estatística baseada no SynthID-Text e os arquivos com credencial C2PA, para cumprir o Art. 50 do EU AI Act. A marca do texto some com reescrita, paráfrase ou tradução de ida e volta, o C2PA some com a limpeza de metadados, e só o fornecedor detecta: ausência de marca não prova que o conteúdo é humano. Entraram um termo no glossário e uma pergunta no Security by Design.

Baseado em: anthropic.com/news/claude-text-watermark (14/08/2026, atualizado 01/09/2026) — SynthID (ai.google.dev) — arXiv 2508.20228 — EU AI Act, Art. 50 — akitaonrails.com (16/08/2026)

Skills maliciosas em loja de agente, lista de proteção vazia e defesas práticas contra prompt injection

O risco de cadeia de suprimentos do agente passou a citar skills e ganhou o caso ClawHavoc: 341 de 2.857 skills da loja ClawHub eram maliciosas (Koi Security, fev/2026), e a probabilidade subiu para Média. Entraram também um agente que apagou arquivos por confiar numa lista de proteção vazia, o fim do programa de recompensa do curl afogado em relatórios falsos gerados por LLM, e as medidas práticas contra prompt injection (etiquetar conteúdo externo, remover Unicode invisível, mínimo de ferramentas, aprovação humana). O Security by Design ganhou a pergunta sobre permissões do agente em três níveis, e o glossário, 'revisão adversarial' e 'oráculo'.

Baseado em: Fabio Akita, 'Competente o Suficiente' (github.com/akitaonrails/ai-book-2026, v1.0.0, out/2026) — thehackernews.com/2026/02/researchers-find-341-malicious-clawhub.html — antiy.net (ClawHavoc) — theregister.com/2026/01/21/curl_ends_bug_bounty/

Agregadores de modelos espalham seus dados por vários provedores; agentes deixam passar falhas silenciosas

Risco novo: agregadores como o OpenRouter repassam cada requisição a um entre vários provedores que hospedam o modelo, escolhendo pelo preço; os dados vão para hosts não avaliados, a qualidade muda conforme a quantização e não dá para verificar quem respondeu. O risco de código gerado por IA passou a destacar as falhas silenciosas, que não quebram teste: teste neutralizado com 'assert true', número de relatório errado, CORS liberado e mocks de métodos que não existem. O Security by Design ganhou perguntas sobre agregadores e sobre avaliar agentes com falhas plantadas; o glossário, 'agregador de modelos' e 'falha plantada'.

Baseado em: github.com/akitaonrails/llm-coding-benchmark (benchmark-v4/sabotage, docs/relay_fingerprint_findings.md, docs/success_report.v4.md) — openrouter.ai/docs/features/provider-routing

13 controles novos: sandbox, permissões e verificação para agentes de IA

A lista de controles da Biblioteca ganhou 13 boas práticas ligadas aos riscos de 2026: sandbox para agentes de código, permissões em três níveis, snapshot e backup fora do alcance do agente, agente fora de produção, verificação na origem antes e depois de ação destrutiva, revisão de arquivos de instrução e skills de terceiros, revisão de código gerado por IA com foco em autorização, avaliação do agente com falhas plantadas, memória de agente tratada como pista, limite de tentativas e orçamento, provedores fixados em agregadores, marcação de conteúdo sintético e verificação do artefato publicado.

Baseado em: Consolidação das fontes da rodada de 2026-10-19: akitaonrails.com, ai-jail, livro 'Competente o Suficiente', llm-coding-benchmark, OpenRouter (provider routing), anthropic.com/news/claude-text-watermark

Todo risco do catálogo agora tem ao menos um controle: MCP, agentes, RAG e moderação

Mais 20 controles na Biblioteca para os riscos que ainda não tinham nenhum: servidores MCP autenticados e com versão fixada, isolamento por usuário e sessão, objetivo do agente protegido, chamadas de ferramenta validadas, mensagens entre agentes autenticadas, disjuntor em pipelines multiagente, inventário de agentes, aprovação humana informada, gateway de IA privado, mídia e links tratados como dado, sanitização da resposta, permissão checada na consulta ao RAG, system prompt sem segredos, proteção contra extração de modelo, robustez adversarial, moderação, identidade fixa da IA, fontes verificáveis e AIBOM.

Baseado em: OWASP Top 10 for LLM Applications 2025, OWASP Top 10 for Agentic Applications, MITRE ATLAS e MCP Security Best Practices (fontes dos riscos correspondentes)

Prompt injection multimodal e mídia sintética (deepfake)

Com a IA multimodal virando padrão em soluções corporativas, adicionamos dois riscos que o catálogo ainda não cobria. Prompt Injection Multimodal: instruções escondidas em imagem, áudio ou documento que o modelo obedece como se fossem prompt — pesquisas de 2026 mostram modelos de visão comerciais caindo nesse ataque, e filtros só de texto não o enxergam. Mídia Sintética (Deepfake): quem gera imagem/áudio/vídeo precisa marcar o conteúdo como sintético (Art. 50 do EU AI Act, em vigor desde 02/08/2026), e quem verifica identidade por IA precisa resistir a rosto, voz e documento falsificados. Entram também duas perguntas na avaliação guiada, dois controles no Security by Design e os termos 'IA Multimodal' e 'Deepfake' no glossário.

Baseado em: Google Cloud — Tendências de IA para negócios 2025 — Cloud Security Alliance, Research Note: Image-Based Prompt Injection (mar/2026) — arXiv 2603.03637 — EU AI Act, Art. 50

AIBOM e falhas reais em servidores MCP e gateways de LLM

Novo risco 'Componentes de IA sem inventário rastreável (sem AIBOM)': o SBOM tradicional não cobre pesos de modelo nem datasets, e sem esse inventário não dá para saber rápido se um modelo ou dataset comprometido afeta a empresa. Entram o termo AIBOM no glossário e uma pergunta no Security by Design. Os riscos 'Servidor MCP sem autenticação' e 'Gateway de IA exposto' ganharam casos reais de 2026: @zereight/mcp-gitlab (CVE-2026-61560), argocd-mcp (CVE-2026-82456) e LiteLLM (CVE-2026-49468). No comparativo de ferramentas de red teaming, o Garak passou a agrupar resultados pelas categorias de risco do EU AI Act (v0.17).

Baseado em: OWASP AIBOM Project — CycloneDX 1.6 / SPDX 3.0.1 — GHSA-cv3r-c5h8-f4g5, GHSA-rp45-5x3v-48mr, GHSA-4xpc-pv4p-pm3w (via OSV) — NVIDIA garak v0.17.0

Mais falhas reais em MCP e gateway de IA; novas datas do EU AI Act

Os riscos 'Servidor MCP sem autenticação' e 'Gateway de IA exposto' ganharam mais dois casos reais de 2026: a ponte MCP do ruflo aberta no docker-compose padrão (CVE-2026-59726) e execução remota de código no gateway OmniRoute (CVE-2026-88062). A descrição do EU AI Act passou a trazer as datas do AI Omnibus: alto risco do Anexo III em 02/12/2027 e do Anexo I em 02/08/2028.

Baseado em: GHSA-c4hm-4h84-2cf3 — GHSA-hf57-cqmx-p4gr — Regulamento (UE) 2026/1744 (data.europa.eu/eli/reg/2026/1744/oj)

Links que envenenam o assistente, runtimes locais expostos e jailbreak em múltiplos turnos

A versão de setembro de 2026 do MITRE ATLAS (v2026.09) ganhou técnicas novas voltadas a IA agêntica. Duas delas viraram conteúdo aqui: o risco novo 'Envenenamento de Recomendação via Links para o Assistente' (botões do tipo 'Resumir com IA' que plantam preferências permanentes na memória do assistente, AML.T0131), com pergunta própria na avaliação guiada; e o reforço do risco 'Exposição de Infraestrutura de Inferência' com o caso real 'Bleeding Llama' (CVE-2026-7482 no Ollama, ~300 mil servidores expostos) e a técnica AML.T0132 — o scanner agora também aponta Ollama configurado para escutar em todas as interfaces. O risco de Jailbreak passou a cobrir ataques de múltiplos turnos, e o Security by Design ganhou dois controles: moderação que considera a conversa inteira e confirmação antes de executar prompt vindo de link.

Baseado em: MITRE ATLAS v2026.09 (15/09/2026) — Microsoft Security Blog, AI Recommendation Poisoning (fev/2026) — Cyera Research, Bleeding Llama (CVE-2026-7482) — arXiv 2608.01117

Caso real de LLMjacking em larga escala reforça o risco de Gateway de IA Exposto

O Relatório de Investigação de Ameaças 2026 da CrowdStrike documentou uma campanha real de LLMjacking que gerou quase 200 mil solicitações de API em dois minutos, com impacto financeiro e operacional em larga escala. Atualizamos o exemplo do risco ‘Gateway de IA Exposto (LLMjacking / Abuso de Infraestrutura)’, já existente na Biblioteca desde julho de 2026, com esse caso real — reforçando a velocidade com que esse tipo de abuso pode escalar quando o gateway/proxy de LLM fica exposto sem autenticação forte.

Baseado em: CrowdStrike, Relatório de Investigação de Ameaças 2026 (Resumo Executivo)

Framework Agent Control Standard (ACS) e atualização do risco de cadeia de suprimentos de ferramentas do agente

Pesquisa externa (OWASP GenAI Security Project, Google Threat Intelligence Group) trouxe duas novidades reais desde a última rodada. Primeiro, a OWASP GenAI Security Project lançou em 01/09/2026 o Agent Control Standard (ACS), um padrão aberto pra tornar agentes de IA inspecionáveis, rastreáveis e controláveis em runtime (hooks de middleware, aplicação de políticas), que adicionamos como 11º framework da Biblioteca. Segundo, o relatório GTIG 'From Prompting to Autonomy' (Google Threat Intelligence, 08/09/2026) documentou o grupo UNC6780 ('TeamPCP') comprometendo pacotes no PyPI, npm e Docker Hub desenhados especificamente pra enganar assistentes de código de IA e scanners de segurança baseados em LLM — atualizamos a descrição, exemplo e dica do risco 'Cadeia de Suprimentos de Ferramentas/Plugins do Agente Comprometida' pra cobrir esse ângulo novo (evasão de revisão por IA, não só por humano).

Baseado em: OWASP GenAI Security Project (genai.owasp.org/resource/agent-control-standard-acs/), Google Threat Intelligence Group (cloud.google.com/blog/topics/threat-intelligence) — pesquisa de setembro/2026

Scanner: checagens novas de MCP (Tool Poisoning, credencial fixa, versão sem pin) e Data Poisoning

Pesquisa externa (Cloud Security Alliance, TrueFoundry, NSA/CISA) mostrou que MCP virou alvo real em 2026: mais de 40 CVEs contra implementações de MCP entre janeiro e abril, e uma falha arquitetural divulgada pela OX Security em abril de 2026 (~200 mil instâncias potencialmente vulneráveis, que a Anthropic confirmou como comportamento intencional do protocolo, deixando a mitigação por conta de quem desenvolve). Adicionamos 3 checagens novas no scanner: 'mcp_tool_poisoning' (instrução escondida na descrição de uma ferramenta MCP, incluindo caracteres Unicode invisíveis), 'mcp_credencial_hardcoded' (chave/token fixo dentro de uma configuração mcpServers em vez de variável de ambiente) e 'mcp_sem_pin_versao' (servidor instalado via @latest, sem versão fixada — abre brecha pra ataque de Rug Pull). Os 3 se ligam a riscos que já existiam só na Biblioteca (Envenenamento de Ferramenta MCP e Exposição de Chaves e Credenciais). Também fechamos o único risco do OWASP Top 10 2026 que ainda faltava virar checagem de scanner: LLM05 Data and Model Poisoning, via 'dados_treino_sem_validacao_integridade' (carregamento de dataset/fine-tuning a partir de URL externa sem checksum/hash por perto). Confirmamos que LLM07 (Misinformation) e LLM09 (Vector/Embedding Weaknesses) seguem de propósito só na avaliação guiada — nenhuma novidade de pesquisa mudou essa decisão, que já era fundamentada.

Baseado em: Cloud Security Alliance, TrueFoundry, NSA/CISA (CSI MCP Security) — pesquisa de agosto/2026

3 riscos novos de segurança de MCP (Model Context Protocol) na Biblioteca

MCP se formalizou bastante em 2026: a spec oficial ganhou uma página própria de Security Best Practices (atualizada 28/07), a NSA publicou guidance dedicada (CSI_MCP_SECURITY, maio/2026) e a Cloud Security Alliance lançou um guia de boas práticas pra MCP agêntico. Adicionamos 3 riscos novos que não eram cobertos pelos já existentes (mcp_sem_autenticacao, cadeia_suprimentos_ferramentas_agente, execucao_codigo_inesperada_agente): Envenenamento de Ferramenta MCP (instrução escondida na descrição de uma ferramenta, incl. a variante 'rug pull' -- servidor aprovado com comportamento legítimo que muda depois), Vazamento de Dado Entre Conexões MCP (contexto de uma conexão vazando pra outra, ou entre tenants de um servidor multi-tenant mal isolado) e Instalação de Servidor MCP Local Sem Consentimento Informado (configuração de um clique que roda comando sem mostrar o que de fato executa).

Baseado em: MCP Security Best Practices (modelcontextprotocol.io, atualizada 28/07/2026) — NSA CSI_MCP_SECURITY (maio/2026) — Cloud Security Alliance, Agentic MCP Security Best Practices Guide v1

Atualização para o OWASP Top 10 para LLM Applications 2026

A OWASP lançou a versão 2026 do Top 10 em 03/08, reordenando as 10 categorias e renomeando 'System Prompt Leakage' pra 'Hidden Context Exposure' (LLM08, escopo mais amplo). Excessive Agency subiu de 6º pra 3º lugar (maior alta) e Unbounded Consumption subiu de 10º pra 6º; Improper Output Handling caiu de 5º pra 10º (maior queda). Atualizamos as referências das checagens do scanner pro número correto de 2026, adicionamos uma checagem nova (chamada de IA sem max_tokens/timeout, achado 'chamada_llm_sem_limite', ligado ao risco Unbounded Consumption que já existia só na Biblioteca) e um risco novo na Biblioteca (Desinformação/Misinformation, LLM07:2026, que não vira checagem de scanner por depender de avaliação de conteúdo, não de padrão de texto). Fraquezas em Embeddings/Vetorial (LLM09) e Supply Chain (LLM04) continuam de propósito só na avaliação guiada — ver nota de filosofia do scanner no CLAUDE.md.

Baseado em: OWASP GenAI Security Project — genai.owasp.org/resource/owasp-genai-llm-top-10-2026/

Biblioteca cobre as 10 categorias do OWASP Top 10 para Aplicações Agentic

6 riscos novos completam a cobertura das 10 categorias oficiais (ASI01-ASI10, publicadas em dezembro de 2025): abuso de identidade e privilégio do agente, cadeia de suprimentos de ferramentas/plugins comprometida, execução de código inesperada pelo agente, falhas em cascata entre agentes, exploração da confiança humano-agente e agentes desonestos (rogue agents). Dois exemplos citam técnicas do MITRE ATLAS v5.4.0 (fev/2026) e o incidente de segurança divulgado pela Hugging Face em julho de 2026.

Baseado em: OWASP GenAI Security Project / MITRE ATLAS / Hugging Face

Security by Design: contenção de falhas em cascata e agentes órfãos

Dois novos controles no domínio Segurança de Agentes (75 → 77 perguntas no total): existe contenção (circuit breaker) que impede a falha de um agente de se propagar para os demais num pipeline multiagente, e existe monitoramento para identificar instâncias de agente órfãs ou não autorizadas ainda ativas fora do ciclo de vida esperado.

Baseado em: OWASP Top 10 para Aplicações Agentic (dez/2025)

Biblioteca cobre as 10 categorias do OWASP Top 10 for LLM Applications

Risco novo (Consumo Ilimitado de Recursos / Unbounded Consumption, LLM10) completa a cobertura das 10 categorias oficiais (LLM01-LLM10:2025). Envenenamento de Dados (LLM04) e Alucinação (LLM09, categoria oficial 'Misinformation'), que já existiam no catálogo mas não estavam mapeados a este framework, agora aparecem corretamente na lista de riscos do OWASP LLM Top 10.

Baseado em: OWASP GenAI Security Project (genai.owasp.org/llm-top-10)

JailbreakBench no comparativo de ferramentas de red teaming

O comparativo de ferramentas de red teaming/teste de LLM (antes Promptfoo, PyRIT, Garak) ganhou o JailbreakBench: benchmark acadêmico com dataset padronizado (JBB-Behaviors) e leaderboard público para comparar técnicas de jailbreak. Termo correspondente adicionado ao Aprender IA.

Baseado em: jailbreakbench.github.io / github.com/JailbreakBench/jailbreakbench

Security by Design: controle de moderação de conteúdo

Novo controle no domínio Uso Seguro em Produção (77 → 78 perguntas no total): existe moderação de conteúdo (entrada e saída) para bloquear conteúdo nocivo, odioso ou perigoso? Motivado pelo mesmo cruzamento com a taxonomia do Promptfoo que gerou os riscos novos da Biblioteca.

Baseado em: Promptfoo — LLM Vulnerability Types

4 riscos novos a partir da taxonomia de vulnerabilidades do Promptfoo

Cruzamos os 150+ tipos de teste da taxonomia "LLM Vulnerability Types" do Promptfoo com o catálogo atual e adicionamos 4 riscos de propósito geral que ainda não tínhamos: Vazamento de Dados entre Sessões (Cross-Session Leak), Geração de Conteúdo Nocivo sem Moderação, Personificação Indevida (Imitation) e Aconselhamento Especializado sem Qualificação. Categorias específicas de vertical de mercado (financeiro, médico, farmácia, seguros, e-commerce — muitas ligadas a regulação dos EUA como FDA/SOX/DEA) foram avaliadas e deixadas de fora por não se aplicarem a uma ferramenta de propósito geral.

Baseado em: Promptfoo — LLM Vulnerability Types (promptfoo.dev/docs/red-team/llm-vulnerability-types)

3 novos controles de segurança de agentes

O diagnóstico Security by Design ganhou 3 controles no domínio Segurança de Agentes: (1) impedir que o agente acesse ambientes de produção diretamente — sem credenciais de produção, com mudanças apenas por artefato versionado e aprovação humana; (2) executar o agente em sandbox isolado, mantendo segredos como chaves SSH, credenciais de nuvem e arquivos .env fora do seu alcance; e (3) garantir que ações destrutivas do agente sejam reversíveis, com backup ou snapshot recente e isolado do próprio agente. Security by Design ampliado de 72 para 75 perguntas.

Baseado em: OWASP LLM Top 10 (Excessive Agency), NIST AI RMF, MITRE ATLAS, akitaonrails.com

Novos frameworks de referência: ISO/IEC 23894 e EU AI Act

Adicionamos dois padrões à Biblioteca: ISO/IEC 23894 (gestão de risco de IA, complementando a ISO/IEC 42001) e EU AI Act (regulamento europeu de IA por nível de risco), agora mapeados aos riscos de governança, viés, conformidade e supply chain. A página inicial passou a listar todos os frameworks e normas que usamos como referência.

Baseado em: ISO / European Union

Gateways de IA como porta de entrada (LLMjacking)

Novo risco na Biblioteca e pergunta na avaliação guiada sobre gateways/proxies de LLM (LiteLLM e afins) expostos: viram porta de entrada para mineração de criptomoeda, sequestro do acesso pago aos modelos (LLMjacking) e escalada na conta de nuvem via IAM com permissão excessiva. Termo 'LLMjacking' adicionado ao Aprender IA.

Baseado em: Darktrace / The Hacker News

9 riscos novos de agentes, RAG e MCP

Adicionados riscos de vazamento de system prompt, fraquezas de embeddings, controle de acesso quebrado em RAG, exfiltração via conteúdo ativo e 5 riscos específicos de agentes (sequestro de objetivo, uso indevido de ferramentas, envenenamento de memória, comunicação insegura entre agentes, servidor MCP sem autenticação), cada um com pergunta correspondente na avaliação guiada. Security by Design ampliado de 70 para 72 perguntas.

Baseado em: OWASP GenAI Security Project, NVIDIA AI Red Team blog, Protect AI/Palo Alto Networks blog, Palo Alto Cyberpedia, arXiv

Comparativo de ferramentas de red teaming/teste de LLM

Novo comparativo (Promptfoo vs PyRIT vs Garak) na seção de Comparativos, e 3 termos novos no Aprender IA: Red Teaming de IA, PyRIT, Vazamento de System Prompt.

Baseado em: OWASP GenAI Security Project, NVIDIA AI Red Team blog

Diagnóstico Security by Design

Novo módulo de diagnóstico de arquitetura segura para soluções de IA: 70 perguntas fixas em 14 domínios (governança, dados, modelo, infraestrutura, agentes, DevSecOps, etc.), com pontuação por domínio e recomendações.