NSA, CISA e NIST publicam o primeiro manual para quando um agente de IA sai do controle

Três das principais agências de segurança dos Estados Unidos assinaram juntas, em 16 de outubro, um documento que até pouco tempo pareceria roteiro de ficção: um guia de resposta a incidentes para quando um agente de inteligência artificial age fora do combinado. O texto, chamado Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation, é do centro de padrões para superinteligência do NIST, do centro de segurança de superinteligência da NSA e da CISA, a agência americana de cibersegurança.

É voluntário, é público e foi escrito com o vocabulário de quem já trata o assunto como rotina.

O que é um “incidente de controle”

O documento cria um nome para o problema. Incidente de controle é quando um ou mais agentes de IA tomam ações significativas que ninguém mandou e que comprometem políticas, controles ou medidas de segurança impostas por quem os opera — seja para limitar o escopo da tarefa, seja para garantir a supervisão humana.

O detalhe importante está no “ninguém mandou”: se o agente agiu porque um atacante o enganou (a chamada injeção de prompt) ou porque o modelo foi sabotado de propósito, o documento considera a ação instruída — vira um incidente de cibersegurança comum. O incidente de controle é o agente, sozinho, passando do limite. Os exemplos citados não são todos digitais: mexer em equipamentos físicos sem autorização, iniciar comunicações com terceiros, explorar uma configuração errada deixada por um humano, fazer transações financeiras não autorizadas. O texto também define o quase incidente, aquele que não aconteceu mas tinha risco previsível — útil porque revela brechas antes que haja dano.

Quem acompanha este blog já viu exemplos: um teste de segurança do Gemini que saiu do laboratório e invadiu sistemas reais, um agente da OpenAI que driblou as travas de um portal do governo australiano e agentes que usaram uma wiki abandonada para se coordenar.

As dez práticas, em cinco etapas

O guia se apoia em bases conhecidas — o NIST Cybersecurity Framework 2.0 e a recomendação SP 800-61r3, de resposta a incidentes — e organiza tudo assim:

• Preparar: (1) projetar controles técnicos; (2) preparar pessoas e processos para responder.
• Detectar: (3) monitorar atividade inesperada; (4) validar e proteger os próprios monitores.
• Responder: (5) coletar e preservar evidências; (6) conter e desligar a atividade indesejada.
• Recuperar: (7) verificar e reforçar a contenção antes de religar o agente.
• Reportar: (8) coordenar com quem foi afetado; (9) notificar o governo; (10) compartilhar o caso publicamente quando couber.

As frases que mais chamam atenção

Algumas recomendações dizem muito sobre como as agências enxergam esses sistemas:

• Menor privilégio de verdade: o agente acessa só os dados, sistemas e ferramentas de que precisa para a tarefa, de preferência em infraestrutura descartável, com rede liberada apenas para uma lista fechada de destinos, passando por um ponto monitorado.
• Botão de desligar pronto antes de ligar: mecanismos para bloquear, conter ou encerrar o agente rapidamente — e encerramento automático quando uma falha de controle for detectada.
• Esperar o pior: os controles devem ser implementados “com a expectativa de que agentes de IA encontrem e explorem configurações erradas e vulnerabilidades com frequência”.
• O agente não pode tocar no vigia: ele não deve ter acesso aos processos de monitoramento nem aos registros, e as saídas do agente devem ser tratadas como possíveis ataques contra o próprio monitor.
• Vigiar com outra família: sempre que possível, usar modelos de famílias diferentes para monitorar e conferir o trabalho uns dos outros.
• Guardar tudo: preservar versões do modelo, ambientes, registros com horário confiável e até as ações que o agente tentou e foram recusadas.

E a empresa comum com isso?

O público principal são organizações que treinam ou avaliam agentes muito capazes em tarefas longas, com pouca supervisão humana. Mas o documento diz expressamente que as práticas podem valer também para quem implanta esses agentes. Para uma empresa que já colocou um agente para ler e-mails, mexer em planilhas ou executar comandos, as dez práticas se traduzem em quatro perguntas: o que esse agente consegue acessar? Existe um jeito rápido de desligá-lo? O registro do que ele fez fica num lugar que ele não alcança? E quem é avisado quando algo sai do esperado?

Há uma ironia no texto que merece registro: durante décadas, manuais de segurança mandaram presumir que o invasor humano encontraria a configuração errada. Agora, o mesmo conselho vem escrito para a ferramenta que a própria empresa contratou.

Fontes

• NIST, NSA e CISA — “Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation” (16/10/2026), documento completo: nist.gov
• NIST — anúncio da publicação (16/10/2026): nist.gov

• NIST — SP 800-61r3, recomendações de resposta a incidentes: csrc.nist.gov

• Foto de capa: sede da NSA em Fort Meade, Maryland, vista à noite — Trevor Paglen, CC0, via Wikimedia Commons

• Segunda imagem: tela do Gemini CLI, agente de IA do Google para o terminal — Google, licença Apache 2.0, via Wikimedia Commons