Estamos testemunhando o fim da era do "Humano no Circuito" e o início da economia "Agente para Agente". Até pouco tempo atrás, a maioria das interações com IA seguia modelos centralizados, onde um usuário humano solicitava algo a um modelo central, revisava o resultado e então tomava uma atitude. Esse modelo fornecia um freio de segurança natural. Se a IA alucinasse ou sugerisse uma ação maliciosa, um humano estava lá para detectar.
Esse freio de segurança está desaparecendo.
Com a ascensão do protocolo Agente para Agente (A2A) e do Protocolo de Contexto de Modelo (MCP), as organizações estão construindo cadeias de suprimentos de lógica autônomas. Nessa nova arquitetura, um Agente de Atendimento ao Cliente pode revisar um chamado e passá-lo imediatamente para um Agente de Faturamento, que então negocia com um Agente de Banco de Dados para processar um reembolso. Toda essa cadeia ocorre em milissegundos, muitas vezes sem que um único olhar humano verifique a lógica.
Essa mudança cria uma nova e massiva superfície de ataque que é invisível para as ferramentas de segurança tradicionais.
Procurando uma solução? Baixe o Guia do Comprador de Segurança Agêntica
O Risco de Alucinações em Cascata
A ameaça mais perigosa em um ambiente A2A não é necessariamente um hacker externo, mas uma falha lógica em cascata. Em um mundo movido por humanos, uma tentativa de phishing para se o usuário perceber que algo está errado. Em um mundo A2A, a credulidade é codificada.
Se um invasor conseguir usar injeção de prompt no Agente de Atendimento ao Cliente inicial, ele não estará apenas enganando um chatbot. Ele estará, efetivamente, enganando toda a cadeia subsequente. O agente comprometido passa um contexto malicioso para o Agente de Faturamento, que trata a solicitação como uma instrução verificada de um par interno confiável. Como esses agentes se comunicam via APIs usando contas de serviço com privilégios elevados, a solicitação maliciosa ignora as verificações de autenticação padrão que normalmente desafiariam um usuário humano.
Chamamos isso de exploração em cadeia. Uma única fraqueza na borda da rede permite que um invasor manipule sistemas de backend profundos fazendo com que os agentes se comuniquem entre si.
Por que o Ponto Cego do Tráfego "Leste-Oeste" é Fatal
A maioria das equipes de segurança concentra seus esforços no tráfego Norte-Sul, protegendo efetivamente a porta da frente. Elas presumem que, uma vez que uma solicitação está dentro do perímetro, ela está relativamente segura. A comunicação A2A desafia essa suposição, já que é quase exclusivamente tráfego Leste-Oeste.
Quando o Agente A chama o Agente B, o tráfego permanece dentro do ambiente de nuvem ou da rede interna. Ele usa APIs internas, muitas vezes não documentadas ou endpoints de API "sombra", para mover dados. WAFs e Gateways de API tradicionais são normalmente implantados na borda, o que significa que eles nunca veem essa conversa interna. Eles são completamente cegos às negociações de alta velocidade e alto risco que acontecem entre seus próprios servidores.
A ampla adoção de protocolos como MCP e A2A levará inevitavelmente a mais APIs e a um maior uso de API, não menos. Essa explosão de tráfego interno é o esconderijo perfeito para invasores. Eles podem viver da própria infraestrutura, usando seus próprios agentes para se mover lateralmente pela sua rede enquanto seu painel de segurança mostra que todos os sistemas estão operando normalmente.
Protegendo a Malha Autônoma
Para ser claro, não é possível proteger o que não se pode ver. Visibilidade e governança continuam sendo a base da segurança; você deve inventariar seus agentes e limitar rigorosamente seus privilégios. No entanto, no mundo de latência de milissegundos da comunicação A2A, esses controles são insuficientes por si sós. Até mesmo um agente totalmente governado com uma identidade conhecida pode ser induzido a um comportamento malicioso por um par corrompido. É aqui que a estratégia deve mudar de uma postura estática para uma defesa dinâmica.
Proteger esse novo cenário exige uma mudança fundamental na estratégia. Você não pode confiar em regras estáticas ou detecção baseada em assinaturas, porque o vetor de ataque não é um arquivo de malware conhecido. O vetor de ataque é uma lógica de negócios válida executada incorretamente.
As equipes de segurança precisam implementar proteção em tempo de execução que entenda a intenção. Não basta mais saber que o Agente A chamou o Agente B. Você precisa saber se essa chamada está alinhada com a linha de base histórica de comportamento dessas duas identidades. O Agente de Faturamento costuma solicitar um dump completo da tabela do Agente de Banco de Dados às 3 da manhã? Se não, não importa se as credenciais são válidas. O comportamento é malicioso.
A Abordagem da Salt Security
É por isso que a Salt Security foca tanto na Camada de Ação de IA Agêntica. Implementamos nossa solução profundamente na estrutura de API para observar essas comunicações internas. Usando big data e análise comportamental, estabelecemos uma linha de base do que é "normal" para cada agente em seu ecossistema. Quando um fluxo de trabalho A2A se desvia desse padrão, seja devido a uma alucinação ou a um ataque cibernético, podemos detectar e bloquear a chamada de API específica envolvida.
O futuro da IA é autônomo, mas isso não significa que deva ser desgovernado. Ao tratar cada interação entre agentes como um evento de segurança crítico, as organizações podem aproveitar a velocidade dos protocolos A2A sem abrir mão do controle de seu sistema nervoso digital.
Se você quiser saber mais sobre a Salt e como podemos ajudá-lo, por favor entre em contato conosco, agende uma demonstração, ou visite nosso site. Você também pode obter uma Avaliação de Superfície de Ataque de API gratuita da equipe de pesquisa da Salt Security e descobrir o que os invasores já sabem.