Cyberpediapor Brain
PTDEENESFRITNL

Agentes de IA, ferramentas e protocolo MCP

Um agente de IA chama ferramentas em seu nome: correio, ficheiros, API. O que pode correr mal e como limitar os seus direitos.

Em 30 segundos

Onde acontece
Em qualquer assistente que leia os seus emails, os seus documentos ou páginas web e que possa agir (enviar ou apagar) sem que clique a cada passo3.
O que quer o atacante
Introduzir uma instrução num conteúdo que o agente vai ler, para que aja em seu lugar, por exemplo reencaminhando emails sensíveis3.
O reflexo
O reflexo: dar ao agente o mínimo estritamente necessário de direitos, exigir a sua validação antes de qualquer ação com efeito (envio, eliminação, publicação) e rever o que ele preparou3.
Se já aconteceu
Avise a sua equipa de segurança, indicando a data e as ferramentas ligadas ao agente nesse momento. Os registos de atividade das ferramentas servem para detetar ações anormais3.

Do que se trata

Um agente de IA é um modelo de linguagem a quem foram dadas ferramentas: ler uma caixa de correio, abrir ficheiros, navegar num sítio web, chamar uma API. Trabalhos de investigação de 2022 e 2023 descrevem modelos treinados para decidir que API chamar, quando a chamar e com que argumentos1, ou solicitados com alguns exemplos para alternarem raciocínio e ações e consultarem fontes externas2.

A OWASP, que mantém a lista dos principais riscos das aplicações baseadas em modelos de linguagem, fala de «agency»: a capacidade de chamar funções ou interagir com outros sistemas através de extensões, a que os fornecedores também chamam ferramentas, competências ou plugins. A escolha da extensão a executar pode ser confiada ao próprio agente, que decide com base no pedido ou no resultado de uma chamada anterior3. Para o colaborador, a questão fica simples: o que pode este agente fazer em meu nome e quem verifica antes de isso ser feito?

Perguntas diretas

O que distingue um agente de um simples assistente de conversa?

Um assistente de conversa responde. Um agente age: faz chamadas repetidas ao modelo, apoiando-se no resultado das chamadas anteriores para orientar as seguintes3. Cada ferramenta ligada alarga o que um erro ou uma manipulação podem provocar.

O que é o protocolo MCP?

As fontes reunidas para esta ficha não descrevem o MCP. Tratam de ferramentas, extensões e conectores em geral, e os riscos descritos mais abaixo aplicam-se a qualquer meio de ligar um agente a uma ferramenta. O protocolo em si não é, por isso, detalhado aqui.

O que é uma injeção de prompt indireta?

É o caso em que o modelo recebe instruções ocultas num conteúdo externo, como um sítio web ou um ficheiro, e altera o seu comportamento por causa delas4. Investigadores mostraram em 2023 que esta via permite atacar à distância, sem interface direta, aplicações que integram um modelo, colocando as instruções em dados suscetíveis de serem recolhidos5. O atacante não precisa de aceder à IA: escreve algo que acabará por ser lido por ela6. O texto pode até ser invisível para um humano, desde que o modelo o interprete4.

É possível bloquear estes ataques com um filtro?

Não por completo. A OWASP considera incerto que exista uma prevenção infalível4. O NCSC britânico explica que os modelos atuais não fazem qualquer distinção entre instruções e dados: limitam-se a prever a palavra seguinte. Considera que a injeção de prompt poderá nunca ser totalmente corrigida, ao contrário da injeção SQL, e recomenda reduzir o risco e o impacto6. Alerta também contra os produtos que pretendem «parar» a injeção de prompt6.

O que devo rever antes de deixar o agente agir?

Tudo o que sai do seu perímetro: emails enviados ou ficheiros partilhados. A OWASP dá o exemplo de um envio de email em que o utilizador revê e valida cada mensagem redigida pelo agente3.

1Como funciona1 min

Uma aplicação confia ao modelo um conjunto de ferramentas e deixa depois o modelo escolher quais chamar3. As instruções do programador e o conteúdo a tratar (um email, uma página, um ficheiro) chegam numa mesma entrada. Os agentes atuais assentam, em geral, nesta mistura entre instruções de confiança e dados não fiáveis7.

O NCSC tira daqui uma consequência prática. Quando o agente chama ferramentas ou API com base no que diz o modelo, um atacante que o manipule obtém o equivalente a um acesso direto a essas ferramentas, com o pior cenário que isso implica6.

2O que faz2 min

A OWASP enumera as medidas que reduzem o excesso de poder de um agente. Nem sempre controla a sua configuração, mas pode pedi-las à equipa que implementa a ferramenta.

  • Reduzir as ferramentas: se o agente não precisa de ler um endereço web, não lhe é oferecida essa função3.
  • Reduzir as funções: uma extensão que resume emails só precisa de os ler, não de os apagar nem de enviar outros3.
  • Preferir ferramentas precisas a ferramentas abertas, do tipo «executar um comando»: com estas, qualquer outro comando pode ser lançado3.
  • Reduzir as permissões: uma ferramenta de leitura de uma base de dados não deve ligar-se com uma identidade que também possa modificar ou apagar3.
  • Agir com os seus próprios direitos, e não com uma conta genérica muito privilegiada. Para um repositório de código, a OWASP cita uma ligação OAuth com o âmbito mínimo3.
  • Exigir validação humana para as ações de grande impacto3.
  • Registar a atividade das ferramentas para detetar ações anormais e limitar o débito, de modo a reduzir o número de ações indesejadas possíveis num dado intervalo de tempo3.

O NCSC propõe uma regra simples: quando um modelo trata informações vindas de um terceiro, os seus privilégios descem para os desse terceiro. Um agente que lê emails de pessoas externas não deve, portanto, ter acesso a ferramentas privilegiadas6.

Do lado das plataformas, a Microsoft descreve para o Copilot Studio controlos reservados aos administradores: políticas de dados sobre conectores, ações e pedidos HTTP, análise das dependências dos conectores antes da implementação, registos de auditoria e possibilidade de desativar a publicação de agentes que usam IA generativa. Os criadores de agentes também podem configurar as ferramentas para que se executem com as credenciais do utilizador8.

3As armadilhas1 min
  • O agente com direitos excessivos. A OWASP distingue três causas: demasiadas funções, demasiadas permissões, demasiada autonomia3. Uma extensão experimentada durante o desenvolvimento e depois abandonada pode continuar acessível ao agente3. Uma extensão de terceiros escolhida para ler documentos pode também saber modificá-los e apagá-los3.
  • A instrução escondida num email. No exemplo da OWASP, um email recebido e armadilhado leva um assistente de correio a vasculhar a caixa de entrada e a reencaminhar informações sensíveis para o atacante3.
  • A imagem que faz fugir a conversa. Um utilizador pede à IA que resuma uma página que contém instruções ocultas, as quais a levam a inserir uma imagem que aponta para um endereço: a conversa privada sai assim4.
  • O documento alterado numa base de conhecimento. Se um atacante alterar um documento usado por uma aplicação de geração aumentada por recuperação, a resposta da IA pode tornar-se enganadora4.
  • O encadeamento entre ferramentas. Uma injeção pode vir de uma chamada anterior a uma extensão comprometida ou de outro agente comprometido num sistema multiagente3.
  • O teste único que tranquiliza sem razão. O NIST observa que um modelo pode resistir aos ataques já conhecidos e ceder a ataques concebidos para ele7.
4Casos reais1 min

Fevereiro de 2023: demonstração no Bing Chat e em assistentes de código

Investigadores, entre os quais Kai Greshake e Sahar Abdelnabi, submeteram a 23 de fevereiro de 2023 um artigo que mostra ataques por injeção indireta contra sistemas reais, entre os quais o Chat do Bing baseado no GPT-4 e motores de conclusão de código. Segundo eles, tratar um prompt recolhido pode equivaler à execução de código arbitrário e controlar se e como outras API são chamadas. Assinalam a falta de defesas eficazes nesse momento5.

Janeiro de 2025: a avaliação do sequestro de agentes pelo NIST

A 17 de janeiro de 2025, o Center for AI Standards and Innovation do NIST publicou os seus ensaios de sequestro de agentes na estrutura AgentDojo. Os ataques concebidos especificamente para o modelo testado passaram de 11 % de sucesso (o melhor ataque de referência) para 81 %7. Em cinco tarefas de injeção, entre as quais o envio de um código de autenticação a um terceiro e a execução de um script malicioso, o sucesso médio foi de 57 % com uma tentativa e de 80 % com 25 tentativas por ataque7. Tratava-se de ambientes simulados, não de incidentes em empresas7.

Ficha

Identificador
CP-264
Ala
4. Inteligência artificial
Competência Brain
Dominar a IA (master_ai)
Reflexo Brain
air-048
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
  1. arXiv, «Toolformer: Language Models Can Teach Themselves to Use Tools», 9 de fevereiro de 2023. https://arxiv.org/abs/2302.04761 (consultado em 3 de novembro de 2026)
  2. arXiv, «ReAct: Synergizing Reasoning and Acting in Language Models», 6 de outubro de 2022. https://arxiv.org/abs/2210.03629 (consultado em 3 de novembro de 2026)
  3. OWASP, «LLM06:2025 Excessive Agency». https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (consultado em 3 de novembro de 2026)
  4. OWASP, «LLM01:2025 Prompt Injection». https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (consultado em 3 de novembro de 2026)
  5. arXiv, «Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection», 23 de fevereiro de 2023. https://arxiv.org/abs/2302.12173 (consultado em 3 de novembro de 2026)
  6. NCSC (Royaume-Uni), «Prompt injection is not SQL injection (it may be worse)», 8 de dezembro de 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (consultado em 3 de novembro de 2026)
  7. NIST, «Technical Blog: Strengthening AI Agent Hijacking Evaluations», 17 de janeiro de 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (consultado em 3 de novembro de 2026)
  8. Microsoft, «Security and governance - Microsoft Copilot Studio». https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «Agentes de IA, ferramentas e protocolo MCP», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/agentes-ia-ferramentas-mcp/

BibTeX 
@misc{brain_cp264_pt_2026,
  author = {Brain},
  title = {Agentes de IA, ferramentas e protocolo MCP},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/agentes-ia-ferramentas-mcp/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0