Scanners tradicionais encontram versões vulneráveis, configurações conhecidas e padrões suspeitos. Um pentester humano vai além: entende o fluxo de negócio, combina pequenas falhas e verifica o impacto real. Agentes de IA começam a aproximar essas duas capacidades.
Em 27 de outubro de 2026, Oracle e OpenAI anunciaram o AI Security Mesh, uma plataforma em que agentes mapeiam sistemas, testam caminhos de ataque, submetem descobertas a uma verificação independente e retestam correções. A tendência também aparece nas orientações da OWASP para testes adversariais de agentes e aplicações.
Isso não significa liberar um robô para “atacar tudo”. Um pentest com agentes de IA precisa de escopo explícito, controle de intensidade, isolamento, credenciais limitadas e acompanhamento. Sem esses elementos, a automação pode causar indisponibilidade ou transformar uma avaliação legítima em acesso não autorizado.
O que muda em relação ao pentest tradicional?
Ferramentas convencionais executam assinaturas e regras predeterminadas. Agentes conseguem planejar etapas, interpretar respostas, adaptar hipóteses e escolher a próxima ação. Eles podem relacionar a API descoberta no JavaScript com uma permissão incorreta e um identificador previsível, por exemplo.
O especialista humano continua essencial para definir escopo, validar impacto, proteger a operação e decidir a correção. A IA amplia cobertura e repetição; não substitui autorização nem responsabilidade.
Onde agentes agregam mais valor
- descoberta de aplicações, APIs, endpoints e relações;
- análise de fluxos autenticados com diferentes perfis;
- criação de hipóteses a partir de respostas e erros;
- teste de combinações que scanners isolados não correlacionam;
- reprodução de achados por um agente independente;
- priorização por impacto sobre dados e processos;
- geração de casos de regressão após a correção;
- reteste contínuo em homologação e CI/CD.
Exemplo: plataforma SaaS multiempresa
Uma plataforma de gestão atende várias empresas no mesmo sistema. O risco mais grave não é um cabeçalho ausente; é um usuário da empresa A acessar documentos da empresa B.
O agente recebe duas contas de teste, uma por tenant, e um ambiente com dados sintéticos. Ele mapeia chamadas da aplicação, identifica IDs de documentos e tenta repetir a requisição com outra sessão. O objetivo não é baixar dados reais, mas provar se o controle de autorização impede o acesso cruzado.
Um segundo agente reproduz o cenário a partir das evidências. Se confirmar, o sistema registra endpoint, perfis, pré-condições e impacto. Depois da correção, o caso entra na suíte de testes para impedir regressão.
Arquitetura segura para testes autônomos
Ambiente isolado
Prefira homologação fiel, réplica controlada ou janela de teste dedicada. Use dados sintéticos ou anonimizados. Se produção fizer parte do escopo, reduza ações, volume e horários e estabeleça parada automática.
Escopo legível por máquina
Liste domínios, IPs, aplicações, APIs, contas, horários, técnicas permitidas e proibições. O agente deve verificar o escopo antes de cada ação, não apenas no início.
Credenciais temporárias
Crie perfis específicos para o teste, com permissões e validade limitadas. Nunca entregue chaves administrativas permanentes. Registre quem autorizou e associe a credencial à campanha.
Controle de saída
Restrinja os destinos de rede. Um teste de exfiltração deve apontar para um coletor controlado, não para qualquer endereço escolhido pelo modelo.
Limites operacionais
Defina taxa de requisições, concorrência, tamanho de payload, profundidade, tentativas e duração. Bloqueie ações destrutivas como exclusão, transferência financeira e alteração irreversível.
Agente testador e agente verificador
Um modelo pode interpretar uma resposta incomum como vulnerabilidade e produzir falso positivo. Separar descoberta e confirmação reduz esse problema.
O testador propõe uma hipótese e reúne evidências. O verificador recebe os passos, executa uma reprodução controlada e tenta refutar a conclusão. Achados críticos ainda devem passar por revisão humana antes de qualquer classificação final ou correção automática.
A independência também evita que o mesmo contexto incorreto contamine teste e validação. Para riscos importantes, use técnicas determinísticas e evidências observáveis: status, diferença de privilégios, alteração de estado e acesso a um marcador sintético.
Quais vulnerabilidades podem ser avaliadas?
- falhas de autorização e isolamento entre tenants;
- autenticação, sessão e recuperação de conta;
- exposição indevida de APIs e dados;
- injeções e validação insuficiente de entradas;
- configurações de nuvem e armazenamento;
- dependências vulneráveis combinadas com caminhos acessíveis;
- lógica de negócio em cupons, limites, aprovações e pagamentos;
- prompt injection, uso indevido de ferramentas e vazamento em aplicações com IA.
Para agentes de IA, a OWASP recomenda testar substituição de instruções, escalada de privilégio, envenenamento de memória, exfiltração e abuso recursivo de ferramentas.
Do achado à correção verificada
- registre evidência mínima e reproduzível;
- associe o risco ao ativo e processo afetado;
- confirme impacto sem ampliar desnecessariamente o teste;
- priorize por explorabilidade e consequência de negócio;
- prepare a correção com revisão do responsável;
- execute testes funcionais e de segurança;
- reteste a vulnerabilidade no mesmo cenário;
- transforme a reprodução em caso de regressão.
Agentes de código podem sugerir patches, mas não devem alterar produção diretamente. A correção passa pelo mesmo fluxo de pull request, testes, revisão e aprovação utilizado por outras mudanças.
Pentest contínuo no CI/CD
Nem todo teste precisa ser uma grande campanha anual. Casos seguros e repetíveis podem rodar em cada versão ou periodicamente em homologação. Mudanças em autenticação, permissões, checkout e integrações merecem gatilhos específicos.
Combine análise estática, dependências, testes de API, jornadas de autorização e exploração assistida. Um agente pode escolher caminhos com base no diff, mas os critérios de bloqueio devem ser objetivos e versionados.
Esse fluxo complementa os testes de software com IA: qualidade verifica se o produto funciona; segurança verifica se ele resiste ao uso hostil.
Riscos da própria automação
- indisponibilidade: excesso de requisições ou payloads pesados;
- fuga de escopo: seguir links ou integrações não autorizadas;
- dados sensíveis: registrar respostas reais em prompts ou logs;
- ação destrutiva: testar exclusão ou alteração sem proteção;
- falso positivo: corrigir algo que não representa vulnerabilidade;
- falso negativo: assumir cobertura completa porque o agente terminou;
- segredo exposto: entregar credenciais excessivas ao ambiente de teste.
Use um kill switch independente, limites no gateway e monitoramento fora do agente. O sistema avaliado não deve ser a única fonte de telemetria sobre o teste.
Autorização e evidências
Antes da execução, documente o responsável pelo ativo, autorização, escopo, período, contatos de emergência, técnicas proibidas e tratamento dos dados. Guarde trilhas de cada requisição relevante e versão dos modelos e ferramentas.
Relatórios precisam distinguir observação, hipótese, confirmação e impacto. Evite despejar centenas de alertas sem prioridade. A equipe precisa saber o que corrigir primeiro e como comprovar que o risco foi eliminado.
Métricas úteis
- ativos e jornadas cobertos;
- achados confirmados versus falsos positivos;
- tempo entre descoberta, correção e reteste;
- vulnerabilidades reabertas ou regressões;
- riscos por processo e não apenas por servidor;
- interrupções ou violações de limite durante testes;
- percentual de correções com caso de regressão;
- redução de achados críticos entre versões.
Como começar
- escolha uma aplicação não crítica ou um ambiente de homologação;
- defina um objetivo estreito, como isolamento entre perfis;
- crie dados e contas sintéticas;
- registre escopo, limites e parada automática;
- execute descoberta e verificação separadamente;
- revise os achados com desenvolvimento e segurança;
- corrija, reteste e automatize apenas casos estáveis;
- expanda a cobertura com base nas evidências.
Segurança mais rápida, não menos responsável
Agentes conseguem explorar mais combinações e repetir testes com frequência, mas o valor depende de controles externos ao modelo. Isolamento, autorização, limites, verificação independente e revisão humana tornam a automação uma aliada da segurança.
A ProativaIA desenvolve software sob medida, aplicativos e soluções de IA e automação. Podemos revisar a arquitetura, criar ambientes de teste, automatizar validações de segurança e integrar evidências ao seu CI/CD.