Evolução das ameaças em inteligência artificial
Uma pesquisa recente da Netskope, o AI Report 2026, revelou um aumento alarmante nas violações de políticas de dados downstream, que agora representam o segundo tipo mais comum de incidente relacionado à IA nas empresas. No Brasil, esse crescimento foi particularmente acentuado, com a frequência dessas violações mais que dobrando no último ano, passando de uma média de 12 para 31 ocorrências por organização semanalmente. Entre as 25% das organizações com maior incidência, o número saltou de 72 para 206 violações semanais.
O papel do Model Context Protocol (MCP)
O rápido crescimento das violações downstream é impulsionado pela adoção massiva do Model Context Protocol (MCP), um padrão aberto que permite que modelos de IA e agentes conectem-se a fontes externas de dados e ferramentas. Em dez semanas, o número de usuários acessando servidores MCP remotos aumentou 250%, enquanto as transações via MCP cresceram 375%. Embora isso amplie as capacidades da IA, cria oportunidades para que informações sensíveis sejam retornadas a usuários ou agentes sem autorização adequada.
Cenário brasileiro e adoção tecnológica
No Brasil, 88% das organizações já utilizam plataformas de IA e 79% adotam agentes para desenvolvimento de código. O país apresenta um estágio menos avançado de adoção de IA agêntica comparado ao cenário global, mas o crescimento do MCP indica uma mudança rápida. Dados regulados e código-fonte responderam por 35% das violações upstream, seguidos por propriedade intelectual (20%) e senhas e chaves (10%).
Implicações regulatórias e LGPD
As violações de dados geradas por agentes de IA trazem desafios significativos para a conformidade com a Lei Geral de Proteção de Dados (LGPD). A natureza dinâmica e autônoma desses agentes dificulta a identificação precisa de quem é responsável pelo vazamento e qual dado foi exposto. A ANPD deve considerar novas diretrizes para governança de IA, focando na responsabilidade das organizações em monitorar não apenas o que é enviado para a IA, mas também o que ela retorna.
Recomendações para CISOs e gestores
Para mitigar esses riscos, as organizações devem adotar as seguintes medidas:
- Governança de dados downstream: Implementar políticas estritas que filtrem respostas da IA antes que elas alcancem o usuário final, garantindo que dados sensíveis não sejam expostos.
- Monitoramento de agentes: Utilizar ferramentas de Shadow AI e monitoramento de comportamento de agentes para detectar atividades anômalas e acessos não autorizados.
- Capacitação de equipes: Treinar colaboradores sobre os riscos de compartilhar dados com IAs e a importância de verificar as respostas geradas por agentes autônomos.
- Auditoria de integrações MCP: Revisar periodicamente quais servidores MCP estão sendo acessados e validar a segurança das conexões estabelecidas.
Conclusão e perspectivas futuras
O aumento exponencial das violações downstream sinaliza que a segurança da IA não pode ser tratada como um problema secundário. À medida que os agentes de IA se tornam parte integrante das operações diárias, a proteção de dados deve evoluir para incluir verificações em tempo real e controle granular sobre o fluxo de informações. A falta de maturidade na gestão desses riscos pode resultar em multas significativas sob a LGPD e danos reputacionais irreparáveis.