O mercado de segurança de IA é competitivo. Os fornecedores estão correndo para proteger prompts, fortalecer modelos, detectar jailbreaks e procurar vazamento de dados na camada LLM. O investimento é real. A intenção é boa.
E a maioria está perdendo o foco.
Eis o problema: agentes não apenas pensam. Eles agem. Eles chamam APIs. Eles acionam fluxos de trabalho. Eles escrevem em bancos de dados, enviam e-mails, movimentam dinheiro e modificam sistemas de produção. No momento em que um agente decide fazer algo, ele sai completamente da camada do modelo e entra na sua infraestrutura.
Essa é a camada de ação. E, neste momento, a maioria das equipes de segurança quase não tem visibilidade sobre ela.
O Que a Camada de Ação Realmente É
Pense em como um agente de IA funciona. Um usuário lhe dá uma tarefa. O LLM raciocina sobre ela. Então o agente se conecta através de servidores MCP para interagir com sistemas reais: seu CRM, seu armazenamento de arquivos, suas APIs internas, seus serviços de terceiros.
Cada uma dessas interações é uma ação. Cada ação acarreta risco.
O LLM é o cérebro. Os servidores MCP são as mãos. As APIs são os botões e alavancas que essas mãos podem pressionar. Proteger o cérebro sem proteger as mãos não é uma estratégia de segurança. É uma lacuna.
Por Que Essa Lacuna Existe
A conversa sobre segurança de IA começou na camada do modelo porque foi onde a IA começou. As primeiras implantações de IA generativa eram principalmente interfaces: um usuário fazia uma pergunta, o modelo respondia. O perfil de risco parecia injeção de prompt, vazamento de dados em respostas e uso indevido do modelo.
Os agentes mudaram tudo. Os agentes não apenas respondem. Eles planejam, executam e encadeiam ações de forma autônoma. Uma única tarefa de agente pode acionar dezenas de chamadas de API downstream em sistemas que a equipe de segurança nunca mapeou para um fluxo de trabalho de IA.
As ferramentas criadas para a camada do modelo não foram projetadas para isso. Elas monitoram conversas. Elas não monitoram a infraestrutura.
O Que Acontece Quando a Camada de Ação Não É Monitorada
Considere como um agente comprometido realmente se parece no mundo real. Ele não se anuncia com um prompt suspeito. Ele passa pelos seus filtros de prompt sem problemas. Ele está autorizado a realizar a ação que executa. O que ele faz é chamar uma API que nunca chamou antes. Ou chamar uma API familiar com um payload incomum. Ou encadear uma sequência de ações individualmente inócuas que, coletivamente, exfiltram dados sensíveis.
Nada disso é visível na camada do modelo. Tudo isso é visível na camada de ação, se você estiver monitorando.
Isso não é teórico. A violação da McKinsey, onde os atacantes se moveram lateralmente através de uma API que alimentava um assistente de IA, é exatamente esse padrão. O dano não ocorreu no prompt. Ocorreu na infraestrutura.
Você Não Pode Proteger o Que Não Pode Ver
Este é o principal desafio. Sua infraestrutura agêntica não é uma única camada. Ela abrange LLMs e agentes no topo, servidores MCP no meio, e APIs e sistemas downstream na camada de ação. Cada camada se conecta às outras. O risco flui por todas as três.
Proteger agentes requer visibilidade em toda a pilha: o que está exposto externamente, como está configurado, o que seu código revela sobre como os agentes se conectam e o que realmente está acontecendo no tráfego em tempo real durante a execução. O Agentic Security Graph é como a Salt reúne todas essas quatro fontes de dados em uma imagem correlacionada do seu ambiente.
Cada nó nesse gráfico é um ponto de entrada potencial. Cada conexão é um caminho de ataque potencial. As pontuações de risco e as sobreposições de lacunas de postura não são teóricas. Elas são construídas a partir de dados em tempo real de quatro fontes distintas, incluindo tráfego de API em tempo de execução que nenhuma ferramenta da camada de modelo pode ver.
O Que a Segurança da Camada de Ação Exige
Proteger a camada de ação exige três coisas que a maioria das ferramentas de segurança de IA não foi projetada para fornecer.
- Primeiro, você precisa saber a quais APIs e servidores MCP seus agentes estão conectados. Não o que seus desenvolvedores disseram. O que realmente existe, incluindo as implantações não autorizadas, os MCPs ocultos e os endpoints que nunca foram registrados internamente.
- Segundo, você precisa de uma linha de base comportamental. Como é o comportamento normal para este agente? Quais APIs ele chama, com que frequência, com que tipo de payload? A detecção de anomalias sem uma linha de base é apenas ruído.
- Terceiro, você precisa de visibilidade em tempo de execução em toda a sua infraestrutura real: Kubernetes, balanceadores de carga, gateways de API, sistemas legados, serviços de nuvem modernos. Os agentes não respeitam suas preferências de pilha tecnológica. Eles chamam o que quer que tenham acesso. Seu monitoramento precisa cobrir tudo isso.
Por Que Esta É a Camada Mais Crítica
A camada de modelo é onde a IA toma decisões. A camada de ação é onde essas decisões se tornam reais.
Cada dólar de dano de um incidente de segurança agêntica ocorre na camada de ação. A exfiltração de dados ocorre por meio de uma chamada de API. Transações não autorizadas ocorrem por meio de uma integração de serviço. O movimento lateral ocorre através de conexões de servidor MCP.
Você pode ter uma segurança de prompt perfeita e ainda ser violado se não estiver observando o que seus agentes fazem depois que a conversa termina.
A indústria de segurança vai descobrir isso. A questão é se sua organização chega lá antes que um incidente force a conversa.
Na Salt Security, construímos nossa plataforma de segurança agêntica começando pela camada de ação porque é onde reside oito anos de experiência em segurança de API. Sabemos como é o normal. Sabemos como é o movimento lateral. Sabemos como estabelecer uma linha de base para o comportamento do agente em 70 tecnologias de infraestrutura diferentes.
A camada de modelo importa. Mas a camada de ação é onde a segurança é realmente testada.
Veja como é o seu Gráfico de Segurança Agêntica em salt.security/agentic-assessment