Relatório da IRONSCALES revela que agentes de IA estão se tornando um novo alvo de phishing

Uma mensagem de phishing já não precisa convencer o funcionário dono de uma caixa de entrada. Ela pode ter como alvo o software que lê essa caixa em nome dele. Esse é o principal alerta do novo relatório da IRONSCALES, Dos deepfakes aos agentes duplos: a nova face do risco cibernético impulsionado por IA, que conclui que a adoção, pelas empresas, de ferramentas capazes de executar ações avançou mais rápido do que os controles de segurança que deveriam acompanhá-la.

Na pesquisa encomendada pela empresa e conduzida pela Censuswide, 77% dos entrevistados disseram que, no ano anterior, um agente ou ferramenta de IA de sua organização havia agido com base em conteúdo malicioso, enganoso ou não autorizado. Uma parcela menor, mas ainda expressiva, de 57% relatou pelo menos um caso confirmado. Esses números refletem os incidentes relatados pelos entrevistados, incluindo eventos suspeitos no total mais amplo; não são uma contagem verificada de forma independente de violações bem-sucedidas.

As conclusões vêm acompanhadas de uma notícia mais animadora: o investimento em defesas contra deepfakes aumentou, enquanto as perdas financeiras relatadas se tornaram menos graves. Em conjunto, os resultados apontam um desafio prático para os responsáveis pela segurança: estender a proteção aos tomadores de decisão automatizados sem abandonar as defesas criadas para pessoas.

Agentes de IA têm acesso a sistemas importantes

A Censuswide entrevistou 501 profissionais de TI e cibersegurança dos EUA, em cargos de gerência intermediária ou superiores, que trabalhavam em empresas com 1.000 a 10.000 funcionários. Os participantes tinham entre 25 e 55 anos, e o trabalho de campo foi realizado de 9 a 17 de setembro de 2026. Portanto, os resultados descrevem essa amostra de empresas, e não todas as organizações que usam IA.

Nessa amostra, 96% disseram que suas organizações usam agentes ou ferramentas de IA capazes de agir em nome dos funcionários, e 52% descreveram a adoção como disseminada. O relatório adota uma definição ampla, que inclui ferramentas que leem e respondem a mensagens, acessam arquivos e acionam fluxos de trabalho.

Entre as organizações que usam essas ferramentas, 67% permitem o acesso a sistemas de gestão de chamados ou de suporte técnico, 56% ao armazenamento em nuvem e 49% a e-mails ou mensagens. Outros 30% permitem o acesso a sistemas de finanças, faturamento, compras ou pagamentos. Apenas 19% disseram que suas ferramentas estavam restritas à internet pública, sem acesso interno.

A diferença entre responder a uma pergunta e executar uma ação tem consequências importantes. Um resumo incorreto pode induzir o leitor ao erro; uma ferramenta conectada a sistemas empresariais também pode transferir informações ou iniciar um fluxo de trabalho. As permissões concedidas à ferramenta ajudam a determinar até onde um erro pode se propagar.

A caixa de entrada também é uma porta de entrada para agentes

Entre os entrevistados que relataram um incidente relacionado a agentes de IA, 42% disseram que uma ferramenta de IA resumiu uma mensagem ou um e-mail malicioso, ou agiu com base nele. Outros 41% relataram que um invasor usou uma ferramenta de IA em uma tentativa de phishing ou engenharia social. Essas categorias podem se sobrepor, e a segunda inclui o uso de IA pelo invasor, sem necessariamente envolver o comprometimento do agente da própria vítima.

Essa nuance é importante. A pesquisa reúne em um só panorama vários tipos de falhas relacionadas à IA; ela não demonstra que todos os incidentes envolveram a mesma técnica de ataque. Ainda assim, mostra por que as organizações precisam examinar tanto o conteúdo consumido pelos agentes quanto as ações permitidas por suas integrações.

Uma maneira útil de compreender o risco é separar informação de autoridade. Uma mensagem pode conter instruções, mas o fato de chegar a uma caixa de entrada não deve tornar essas instruções autorizadas. Quando um software pode agir em vários sistemas conectados, preservar essa distinção passa a fazer parte do controle de acesso e do projeto dos fluxos de trabalho.

A plataforma de segurança de e-mail da IRONSCALES reflete seu foco nessa porta de entrada. A empresa descreve uma abordagem baseada em API que combina análise de IA, investigação automatizada e inteligência humana sobre ameaças, além de simulações de phishing e proteção contra deepfakes no Microsoft Teams. Esses recursos ajudam a contextualizar a perspectiva do patrocinador da pesquisa; esta pesquisa não avalia de forma independente a eficácia de seus produtos.

Há processos de aprovação, mas a segurança raramente os lidera

Entre os 479 entrevistados cujas organizações usam ferramentas de IA capazes de executar ações, 78% apontaram a área de TI como principal responsável pela aprovação de agentes, assistentes, plug-ins e conectores. Apenas 6% apontaram a área de segurança, enquanto 14% disseram que a aprovação era compartilhada entre diferentes grupos.

Ser o principal responsável pela aprovação é diferente de participar de alguma forma. Os números não mostram que a área de segurança esteja excluída de todos os demais processos de aprovação. Mostram, porém, que as decisões sobre ferramentas com acesso significativo geralmente são lideradas por outras áreas.

Entre as organizações que relataram um incidente, 39% disseram que um funcionário havia concedido a uma ferramenta de IA um acesso que a área de segurança não teria aprovado. Essa conclusão torna concreta a questão da governança: quem avalia as permissões antes de ativar um conector e quem pode revogá-las quando a ferramenta se comporta de forma inesperada?

O relatório também identifica uma lacuna entre confiança e implementação. Embora 93% tenham dito que os planos de resposta a incidentes abrangem agentes de IA e 84% estivessem confiantes de que conseguiriam identificar um incidente impulsionado por IA, apenas 52% afirmaram que políticas formais, controles e processos de resposta a incidentes estavam todos implementados. Outros 35% relataram a existência de políticas acompanhadas de controles técnicos limitados.

As perdas causadas por deepfakes caíram, mas a ameaça persistiu

Os dados sobre deepfakes permitem uma comparação mais favorável com a pesquisa da Censuswide de 2025, realizada com 500 entrevistados do mesmo perfil. O investimento ativo em defesas aumentou de 37% para 48%. Entre as organizações que relataram perdas financeiras, a proporção das que perderam pelo menos US$ 100.000 caiu de 63% para 49%, e a das que perderam US$ 1 milhão ou mais diminuiu de 6% para 3%.

As perdas médias estimadas entre as organizações afetadas financeiramente caíram de cerca de US$ 280.000 para US$ 225.000. Essas estimativas usam os pontos médios dos intervalos de perdas relatados. Como as pesquisas perguntaram sobre perdas de maneiras diferentes, a comparação exclui as respostas que indicaram nenhuma perda, incerteza ou preferência por não responder.

O relatório alerta explicitamente que o aumento do investimento e a redução das perdas ocorrerem ao mesmo tempo não prova que um tenha causado o outro. Os incidentes tampouco desapareceram: 84% relataram pelo menos um incidente relacionado a deepfakes, em comparação com 85% em 2025. A definição adotada é ampla e abrange desde imagens manipuladas e e-mails adulterados até imitações de voz e vídeo em tempo real.

Há também um problema de prioridades concorrentes. A proporção dos que consideram a defesa contra deepfakes uma prioridade máxima caiu de 71% para 60%, embora a IA capaz de agir represente uma nova demanda para os orçamentos de segurança. A redução das perdas é motivo para avaliar o que está funcionando, em vez de presumir que a ameaça passou.

Proteja as ações, não apenas a conversa

A IRONSCALES recomenda envolver a equipe de segurança na aprovação de agentes, limitar permissões, monitorar ações e testar a resposta a incidentes com ataques direcionados tanto a funcionários quanto a agentes. Essas recomendações conectam os dois temas do relatório: o conteúdo enganoso continua perigoso, mas softwares com permissão para agir mudam a maneira como esse engano pode gerar consequências.

Para uma equipe corporativa, isso significa saber quais agentes existem, a quais sistemas cada um pode acessar e quais ações exigem análise humana. Os registros precisam permitir reconstruir o que a ferramenta leu e fez. Os testes devem verificar se uma mensagem não confiável pode influenciar um fluxo de trabalho autorizado, em vez de medir apenas se os funcionários reconhecem um e-mail suspeito.

A principal contribuição do relatório é mostrar a distância entre adoção, confiança e implementação de controles. Os leitores podem consultar as perguntas da pesquisa, as ressalvas metodológicas e as recomendações no relatório completo De deepfakes a agentes duplos: a nova face do risco cibernético impulsionado por IA.