Quase metade das organizações que pesquisamos — 49,8% — confirmou ou suspeitou que um agente de IA em seu ambiente realizou uma ação no último ano que ninguém pretendia, esperava ou autorizou.
Isso não é uma previsão. É o que profissionais de segurança e tecnologia nos disseram quando os questionamos diretamente, em uma pesquisa com mais de 380 organizações, sobre suas experiências nos últimos 12 meses.
A IA Agêntica avançou rapidamente. Os dados mostram que ela avançou mais rápido do que a maioria das organizações consegue governar.
A implementação superou a governança
86,4% dos entrevistados relatam pelo menos um agente de IA operando em sua organização. Mais da metade executa dez ou mais. Estes não são projetos-piloto ou experimentos em ambiente isolado. São sistemas em produção — acessando dados corporativos, invocando ferramentas, chamando APIs e acionando processos de negócios reais, muitas vezes encadeando essas etapas em sequências que nenhuma equipe projetou individualmente.
76,8% dos entrevistados dizem que seus agentes invocam outros agentes ou ferramentas que, por sua vez, chamam APIs. Uma única instrução do usuário pode produzir uma cadeia de várias etapas entre sistemas e serviços, com a intenção original a vários saltos de distância da ação final. Para equipes de segurança estruturadas em torno de solicitações individuais e contexto de sessão única, essa arquitetura representa uma mudança fundamental.
49,8% das organizações confirmaram ou suspeitaram que um agente de IA realizou uma ação não autorizada no último ano
O que aconteceu nesses casos? As respostas estão no relatório completo — mas o padrão que descrevem não é uma ameaça teórica. Envolve chamadas de API externas, modificação de dados e, em alguns casos, acesso a dados que o agente não deveria ter. É um impacto operacional, não um risco futuro.
Três lacunas que definem o problema
A pesquisa identifica três lacunas de capacidade específicas que, juntas, explicam por que ações não intencionais de agentes estão se tornando uma realidade operacional relatada.
A lacuna de visibilidade.
Apenas 12,5% das organizações conseguem rastrear consistentemente um caminho completo de agente entre todos os agentes — desde a instrução inicial até as decisões do agente, ferramentas, APIs e resultado final. Mais de 60% precisariam de horas ou dias de trabalho manual para reconstruir o que um agente específico fez no dia anterior. Para a resposta a incidentes, esse atraso é o problema central. Um agente pode repetir uma ação, invocar vários serviços ou modificar dados sem esperar que um ciclo de trabalho humano seja concluído.
12,5% das organizações conseguem rastrear consistentemente um caminho completo de agente entre todos os agentes
A lacuna de contenção.
Apenas 17,5% das organizações conseguem parar automaticamente um agente que começa a se comportar de forma inesperada em produção. A maioria só consegue intervir manualmente ou tirando a aplicação do ar. Controles de detecção que são acionados depois que um agente já agiu não são contenção, mas registram o que aconteceu.
A lacuna de infraestrutura.
32,9% dos entrevistados encontraram pelo menos um servidor MCP não autorizado, paralelo ou mal configurado nos últimos 12 meses; 54,3% confirmaram ou suspeitaram de um. O MCP é a forma como os agentes descobrem e usam capacidades externas. Ele também os ajuda a alcançar APIs, bancos de dados e serviços corporativos. Uma camada MCP que as equipes de segurança não conseguem inventariar, verificar ou monitorar é uma superfície de ataque que elas não conseguem defender.
“Os agentes estão recebendo autonomia para agir antes que as organizações consigam visualizar ou controlar o que eles fazem.”
Como isso acontece na prática
Em setembro de 2026, o Salt Labs publicou uma pesquisa mostrando que um único e-mail malicioso poderia sequestrar a plataforma de IA agentica Manus e acessar o e-mail, o armazenamento em nuvem e os repositórios de código conectados do usuário, sem a necessidade de roubo de senha ou clique em links. O ataque funcionou ao incorporar um payload JavaScript ofuscado em um e-mail. Quando o Manus processou o e-mail, ele decodificou e executou o payload, estabeleceu um reverse shell para a infraestrutura do atacante e expôs tokens OAuth dos serviços conectados do usuário.
O próprio mecanismo de proteção da plataforma detectou o ataque. Ainda assim, não conseguiu impedir a execução do código.
Essa pesquisa foi uma prova de conceito para uma plataforma. A pesquisa quantifica o cenário mais amplo. Apenas 17,5% das organizações conseguem conter automaticamente um agente com comportamento inadequado em produção. O mecanismo de proteção do Manus disparou no momento certo e, ainda assim, foi tarde demais. Para a maioria das organizações, isso não é um caso isolado. É a arquitetura que elas estão utilizando atualmente.
“O mecanismo de proteção detectou o ataque. Ainda assim, não conseguiu impedir a execução do código.”
Mais um ponto de pressão: código gerado por IA
A pesquisa também revela um problema que ocorre antes da execução do agente: o código que cria e opera sistemas agenticos é cada vez mais gerado por assistentes de IA, e as vulnerabilidades de segurança nesse código estão sendo identificadas tardiamente no ciclo de vida de desenvolvimento.
83,5% dos entrevistados estimam que códigos gerados ou assistidos por IA contribuem para pelo menos parte das suas descobertas de segurança em aplicações. O relatório completo mostra em que ponto do ciclo de vida de desenvolvimento esses problemas estão sendo detectados e qual é a lacuna entre o momento da geração e a implantação nas organizações que pesquisamos. O cenário não é um problema de assistentes de codificação. É um problema de "em que ponto do pipeline a aplicação de segurança acontece", e para a maioria das organizações a resposta é: tarde demais.
O relatório aborda quais assistentes estão em uso, onde existem lacunas de aplicação de segurança e como é, na prática, uma abordagem de desenvolvimento assistido por IA com segurança desde a concepção.
O que é necessário para fechar essa lacuna
As organizações que conseguirem responder a três perguntas estarão em melhor posição para escalar a IA agentica sem a exposição ao risco descrita na pesquisa:
- Quais agentes existem e o que eles podem acessar?
- O que este agente fez, e podemos reconstruir isso em minutos em vez de dias?
- Podemos parar um agente antes que uma ação não intencional se torne irreversível?
Responder a essas perguntas não é sobre desacelerar a adoção de IA. É sobre tornar a autonomia dos agentes sustentável; dar à IA o acesso de que ela precisa para realizar seu trabalho, mantendo as equipes de segurança em uma posição de observar, governar e conter o que ela faz.
O relatório completo aborda os dados por trás de tudo isso em detalhes: identidade e governança de agentes, visibilidade e contenção de caminhos, exposição da infraestrutura MCP, segurança de codificação por IA, maturidade do programa de segurança de API e telemetria de produção do Salt Labs de centenas de ambientes de clientes -- incluindo descobertas iniciais sobre como caminhos de API conectados a agentes já estão se cruzando com atividades reais de atacantes.
Obtenha o relatório completo
O relatório "The State of Agentic AI and API Security 2H 2026" já está disponível em https://salt.security/api-security-trends. O relatório completo inclui dados por capítulo, detalhamento por setor da indústria, recomendações para CISOs e análise de telemetria de produção do Salt Labs de centenas de ambientes de clientes. Baixe o relatório aqui