A OWASP não tem, ainda, um "Top 10 de IA Agêntica" numerado da mesma forma que o clássico Top 10 de aplicações web. O que existe é um trabalho em andamento do GenAI Security Project mapeando ameaças específicas de agentes autônomos, sistemas que planejam, usam ferramentas e agem sem um humano aprovando cada passo. Na prática, esse mapeamento já converge para um conjunto reconhecível de riscos, que é o que times de segurança encontram quando começam a testar agentes de verdade em produção.
Reunimos os 10 que mais aparecem.
Os riscos
- Sequestro de objetivo. Uma instrução maliciosa (via prompt, documento ou output de outra ferramenta) redireciona o que o agente está tentando alcançar, sem que ele perceba a mudança de rumo.
- Excesso de autonomia. O agente recebe mais permissão do que a tarefa exige "para não travar depois", e essa folga vira superfície de ataque quando ele age fora do esperado.
- Uso indevido de ferramentas. O agente encadeia chamadas de ferramentas de formas que ninguém testou, combinando ações individualmente seguras em uma sequência perigosa.
- Envenenamento de memória e contexto. Dado malicioso persistido na memória de longo prazo do agente contamina decisões futuras, muito depois da interação original.
- Personificação de identidade. Um componente ou agente falso se passa por um agente confiável dentro de um fluxo multiagente.
- Agente desonesto em ambiente multiagente. Um único agente comprometido numa cadeia influencia as decisões dos demais, propagando o problema.
- Manipulação do humano no loop. O agente constrói uma justificativa convincente o suficiente para um humano aprovar uma ação que não deveria aprovar.
- Alucinação em cascata. O erro de um agente vira input "confiável" para o próximo passo da cadeia, amplificando o dano a cada etapa.
- Exaustão de recursos. Loops ou chamadas descontroladas derrubam serviços, estouram custo de API ou saturam limites de taxa.
- Falta de rastreabilidade. Quando algo dá errado, não existe trilha suficiente para reconstruir por que o agente tomou aquela decisão.
Metade desses riscos não é nova, é excesso de permissão e falta de auditoria, os mesmos problemas de sempre. A parte nova é a velocidade: um agente encontra o caminho errado muito mais rápido do que um humano encontraria.
Por onde começar
Não dá para mitigar os 10 de uma vez, e tentar geralmente significa não mitigar nenhum direito. O ponto de partida costuma ser mapear quais agentes existem hoje, quais ferramentas e endpoints cada um pode tocar, e testar essa superfície com o mesmo rigor que se testaria uma API exposta a usuários externos, porque, na prática, é exatamente isso que ela é.
Esses riscos não vivem só na camada do modelo. Eles se manifestam nas APIs que o agente chama, então a defesa também precisa estar lá: entender a superfície real, priorizar por impacto de negócio e provar que a correção funcionou antes que um agente autônomo encontre o caminho que ninguém testou.