Alex Weinert | Diretor de Produtos

A IA é o sonho de qualquer empresa em termos de produtividade — e um pesadelo em termos de segurança. Os líderes da sua empresa estão a apressar-se a adotar a IA generativa e a IA agente para avançarem mais rapidamente e alcançarem novas eficiências, como é natural. Os benefícios são reais já hoje e só vão aumentar.

Mas, para desempenhar as suas funções, a IA ainda precisa de iniciar sessão. A identidade é a última barreira que ainda se mantém, mesmo (ou especialmente) na era da autonomia.

À medida que a sua empresa aposta cada vez mais nos agentes, aposta também cada vez mais na sua estrutura de identidade — porque, se a identidade falhar, o mesmo acontece com os agentes e com todos os processos que estes suportam. O risco está a aumentar porque os atacantes também estão a utilizar agentes de IA para descobrir credenciais, explorar permissões excessivas e propagar ataques à velocidade das máquinas.

Como pode tirar partido dos benefícios da IA agentiva em termos de produtividade, evitando ao mesmo tempo que agentes maliciosos provoquem um desastre cibernético? Utilize esta lista de verificação para preparar a sua estrutura de identidade para a era da IA agentiva — antes, durante e depois de um ataque.

Os responsáveis pela segurança estão a conceder privilégios de segurança elevados à IA, mesmo prevendo um aumento dos riscos relacionados com a IA — e uma falta de confiança na capacidade de recuperação dos seus sistemas de identificação.

Relatório: O estado da segurança da identidade na era da IA

Antes do ataque: Fortalecer e reduzir a sua superfície de ataque

Os ataques são constantes, pelo que o reforço da segurança é contínuo — e é ainda mais urgente agora que a IA utilizada como arma consegue detetar e explorar as suas falhas de segurança mais rapidamente do que nunca.

  • Avalie a sua postura global em matéria de identidade híbrida. Analise todos os IdP (incluindo o AD, o Entra ID, o Okta e o Ping) para identificar agentes de IA que utilizem credenciais. Quase todas as organizações utilizam uma combinação de IdP, e os atacantes exploram as falhas entre eles.
  • Acabar com o acesso permanente: passar para um modelo «na altura certa» e «apenas o necessário». As autorizações acumulam-se continuamente — o Bob mantém os seus direitos na contabilidade, depois acrescenta os de finanças e, por fim, os de TI — até que o acesso permanente se espalhe por toda a organização. Aplicar rigorosamente o princípio do «privilégio mínimo», do acesso «apenas o necessário» e «na altura certa», com aprovações e revisões, aos agentes, aos utilizadores e aos recursos que estes consomem.
  • Proteja o Nível 0. As vias de ataque perigosas nem sempre são óbvias, como, por exemplo, um grupo de administradores aninhado num grupo ao qual o Bob pertence ou um atributo de RH que concede acesso de forma silenciosa. Compreenda quais as permissões que podem aceder diretamente ao Nível 0, através de vias de ataque indiretas ou por meio de acesso oculto.
  • Organizar as identidades não humanas (NHIs) e as contas de serviço. Identificar, classificar e ajustar a dimensão adequada das identidades de máquinas nas quais os agentes operam cada vez mais.
  • Torne as credenciais resistentes ao phishing. A medida mais simples e de maior impacto consiste na implementação de chaves de acesso — uma verificação criptográfica associada a um dispositivo físico —, a sua melhor defesa contra o spear phishing e os deepfakes.

Durante o ataque: Detetar e neutralizar à velocidade das máquinas

Os ataques baseados na identidade aumentaram 32% apenas no primeiro semestre de 2025, segundo a Microsoft. Atualmente, são já algo comum, e não acontecimentos excecionais. Os atacantes agem à velocidade da IA, pelo que a sua defesa também tem de acelerar.

  • Acompanhe continuamente todas as alterações críticas. A primeira alteração que um atacante (ou agente mal-intencionado) efetua é aquela que deve identificar e reverter.
  • Automatize a reversão e, em seguida, notifique um utilizador. Não se limite a emitir um alerta: reverta automaticamente a alteração suspeita e, depois, pergunte ao utilizador se foi essa a sua intenção. A sua segurança não tem de ser perfeita. Basta que seja suficientemente rápida para que os atacantes desistam.
  • Estabeleça limites rígidos para os agentes. Faça valer a proibição de privilégios permanentes, de segredos partilhados e de agentes que ajam como seres humanos. Insista num acesso delimitado, pontual, vinculado a tickets e com prazo de validade.
  • Recorra à aprovação humana de «dupla chave» para o Nível 0. Os agentes também podem ser vítimas de engenharia social; por isso, combine a assistência da IA com a aprovação humana nos seus sistemas mais sensíveis.

Após o ataque: Recuperar-se de forma eficaz — e estar preparado para o fracasso

Uma falha na gestão de identidades é uma falha empresarial. Quando os atacantes controlam o ecossistema de identidades e não é você quem o controla, eles podem comprometer tudo e você nem sequer consegue iniciar sessão para resolver o problema. Trata-se de um evento com potencial para causar a extinção.

  • Mantenha cópias de segurança dedicadas, imutáveis e específicas para cada identidade. Os sistemas de identidade não são apenas mais uma carga de trabalho cuja cópia de segurança se faz juntamente com a máquina virtual. Requerem ferramentas especiais para que seja possível restaurar a identidade em primeiro lugar num ambiente controlado.
  • Recupere apenas a camada de identidade para um estado fiável. Restaure a floresta de forma completa, com uma análise forense do que o atacante alterou. Em seguida, reconstrua o resto.
  • Não deixe que a recuperação dependa da rede que está em baixo. As ferramentas de que depende para a recuperação — e as comunicações fora de banda de que a sua equipa necessita — não podem funcionar na mesma infraestrutura de identidade comprometida.
  • Ensaie cenários realistas de falhas na verificação de identidade. As equipas tendem a treinar apenas para o que prepararam. Realize exercícios teóricos para os ataques que não esperava .

Aproveite a IA na defesa, mantendo-se atento

Os agentes podem ser aliados. Utilize-os para avaliar o seu ambiente face a riscos conhecidos, simular o impacto de ataques, priorizar correções, classificar anomalias e acelerar a deteção de ameaças. Podem até ajudá-lo a elaborar, testar e melhorar o seu plano de resposta a crises.

Lembre-se apenas de que a IA agênica não vai resolver a questão da resiliência por si. A recuperação do núcleo continua a depender de componentes determinísticos e exaustivamente testados. Um agente pode invocar a «sala limpa», mas não pode ser a própria «sala limpa».

A IA agênica já está aqui, e é necessário estabelecer limites bem definidos. A sua estrutura de identidade é o que cria e faz cumprir esses limites. Siga estas orientações para reforçar a resiliência da sua identidade, de modo a poder tirar partido dos ganhos de produtividade das ferramentas de IA, evitando simultaneamente um desastre cibernético causado pela IA.

Os agentes testam os seus limites à velocidade das máquinas — tornando mais crucial do que nunca a implementação das melhores práticas centradas na identidade para estabelecer e fazer cumprir esses limites.

Alex Weinert, Diretor de Produto da Semperis, no artigo «Introduzir agentes de IA na sua estrutura de identidade».

Quem mais da vossa equipa precisa de ver esta lista? Façam o download e partilhem-na para que todos fiquem a par da situação.


Mais recursos