O que a pesquisa da Salt Labs sobre o Manus significa para quem implementa agentes de IA e como fechar a lacuna exposta
A Salt Labs demonstrou recentemente que um único e-mail poderia sequestrar a plataforma de agentes de IA Manus e acessar as contas conectadas da vítima. A análise técnica completa, com evidências, payloads e capturas de tela, está no relatório da nossa equipe de pesquisa, e o Dark Reading foi o primeiro a noticiar a descoberta com exclusividade. Este post é a versão resumida: o que a descoberta significa e o que ela revela para todas as organizações que estão implementando agentes de IA.
Para os detalhes técnicos completos, leia o blog de pesquisa da Salt Labs.
A principal lição
O Manus possuía uma barreira de segurança. Ela funcionou. Detectou a atividade maliciosa e emitiu um alerta. O ataque foi bem-sucedido mesmo assim, porque o aviso veio depois que o código já havia sido executado.
Em um sistema autônomo, não há um humano entre o alerta e a ação. Um controle que é acionado um passo tarde demais é um controle que não funcionou.
Essa é a verdadeira lição da descoberta, e ela se aplica muito além de uma única plataforma. A maior parte da segurança de IA hoje é construída para inspecionar prompts e o comportamento do modelo, ou seja, a conversa. Mas um agente não apenas conversa. Ele age, acessando ferramentas, APIs e contas conectadas na velocidade da máquina. Quando o dano ocorre no que o agente faz, em vez do que ele diz, uma barreira que monitora a conversa está olhando para o lugar errado no momento errado.
Por que este é um problema de todos, não apenas do Manus
O problema específico foi corrigido. O padrão, não, porque é arquitetural. Qualquer agente que leia entradas não confiáveis — um e-mail, um documento, uma página da web, um registro — e possa agir em sistemas conectados tem o mesmo tipo de exposição. Barreiras que correspondem a padrões maliciosos conhecidos sempre deixarão passar padrões que ainda não viram, e os atacantes têm um suprimento ilimitado de novos disfarces. Enquanto isso, o agente geralmente detém amplo acesso aos mesmos sistemas que um atacante deseja alcançar.
Esta não é uma preocupação hipotética para o futuro. As empresas estão conectando agentes a e-mails, armazenamento, repositórios de código e sistemas de negócios hoje, frequentemente com mais acesso do que a tarefa exige e com pouca visibilidade sobre o que esses agentes realmente fazem depois que começam a agir.
O que as organizações podem fazer
Fechar essa lacuna não significa desacelerar a adoção de IA. Significa ser capaz de ver e governar o que seus agentes fazem. Na prática, isso se resume a algumas disciplinas:
- Assuma que entradas não confiáveis chegarão ao caminho de execução. Trate tudo o que um agente pode ler como uma fonte potencial de instruções maliciosas, porque é.
- Não dependa apenas de barreiras de segurança. Filtros de correspondência de padrões são uma camada necessária, não uma defesa completa. Projete para o caso de uma barreira ser contornada.
- Aplique o controle antes da ação, não depois. Uma detecção que chega após a execução de uma ação de alto impacto não impediu nada. Os controles precisam bloquear ações sensíveis antes que elas sejam executadas.
- Aplique o princípio do privilégio mínimo a cada agente. O raio de impacto na descoberta do Manus originou-se de um único ambiente que continha tokens ativos para todos os serviços conectados. O acesso limitado e com escopo definido reduz o alcance de qualquer comprometimento individual.
- Obtenha visibilidade de todo o caminho. O ataque percorreu desde um e-mail, passando pelo modelo, por uma ferramenta, pelo tempo de execução, pelo sistema operacional, até chegar a tokens armazenados e contas de terceiros.
Nenhum controle isolado detectou o incidente completo. Você precisa ser capaz de fazê-lo.
Como a Salt ajuda
Este é exatamente o problema que a Plataforma de Segurança Agêntica da Salt Security foi criada para resolver. A Salt descobre os agentes, servidores MCP e APIs operando em um ambiente, mapeia as conexões e permissões entre eles e monitora o comportamento do agente em tempo de execução, para que as equipes de segurança possam visualizar todo o caminho percorrido por um agente e agir quando seu comportamento divergir do pretendido.
Enquanto as barreiras de proteção na camada do modelo monitoram a conversa, a Salt protege o que o agente realmente faz em todas as ferramentas e APIs que ele acessa, a camada onde o ataque Manus, e outros semelhantes, causam danos. Essa combinação de visibilidade em todo o caminho agêntico e aplicação de políticas no ponto de ação transforma uma detecção tardia em um ataque interrompido.
Leia a pesquisa completa
A análise técnica completa, com as evidências por trás de cada afirmação, está no blog da Salt Labs: Por dentro do exploit Manus. Para ver como a Salt oferece às equipes de segurança visibilidade e controle completos sobre seu ambiente agêntico, visite salt.security e/ou solicite uma demonstração hoje mesmo.