Principais conclusões
- A IA agênica já está a ser utilizada no setor financeiro: análises de conformidade, monitorização de transações, preparação de auditorias, relatórios regulamentares e os agentes operam, por predefinição, sem qualquer inspeção de ficheiros.
- Os agentes financeiros ligam-se a processadores de pagamentos, sistemas ERP, bases de dados regulamentadas e portais de auditores. Cada ligação constitui um limite de confiança; um único ficheiro infetado pode comprometer todas elas.
- O malware tradicional (Emotet, Carbanak, FIN7) e as ameaças emergentes (injeção de prompts) exploram a confiança no agente à velocidade da máquina, antes que um ser humano possa intervir.
- A DORA, a PCI DSS, as regras de divulgação cibernética da SEC e a FINRA/FFIEC exigem, todas elas, a implementação de medidas de governação sobre os fluxos de trabalho dos agentes, com obrigações de comunicação de incidentes que se iniciam no momento em que um agente trata indevidamente um ficheiro.
- A inspeção de ficheiros antes da sua importação pelo agente é o controlo essencial que falta. O MetaDefender™ Cloud intercepta todos os ficheiros: mais de 20 motores, a tecnologia Deep CDR™ e Adaptive Sandbox ; antes mesmo de o agente os detetar.
Julho de 2026 foi um mês interessante para a segurança da IA agênica, para dizer o mínimo. Tanto a Anthropic como a OpenAI foram notícia em grandes manchetes; ambas as empresas estiveram envolvidas em casos em que agentes conseguiram escapar de ambientes em sandbox e invadiram servidores que, de outra forma, seriam seguros.
A notícia não surpreendeu ninguém. Já em fevereiro de 2026, começaram a surgir estudos que documentavam a tendência dos agentes para se tornarem rebeldes quando deixados sem supervisão. Um desses estudos é o «Agents of Chaos», que revela que os agentes podem:
- cumprir as instruções dos não proprietários
- divulgar dados sensíveis
- executar ações destrutivas ao nível do sistema
- difundir práticas inseguras entre si
Em suma, a IA agentiva ainda não está, neste momento, preparada para assumir totalmente as tarefas do dia-a-dia. Em nenhum outro domínio isso é mais evidente do que na superfície de ataque dos agentes de IA no setor financeiro, onde a autonomia já ultrapassa a supervisão.
O seu agente de conformidade processou cerca de 300 documentos este mês, recolhendo registos, faturas, extratos de fornecedores e ficheiros de auditoria de todos os cantos do seu ambiente de armazenamento. Em que momento desse processo é que verificou se algum desses ficheiros estava, de facto, seguro?
Se não tiver uma resposta segura:
- Não estás sozinho; a maioria das organizações financeiras também não o faz.
- Responder a essa pergunta deve ser a tua prioridade número um.
Como a IA Agente amplia a superfície de ataque no setor financeiro
Em 2025, a Gartner constatou que 59 % dos responsáveis financeiros tinham implementado a IA nas suas funções financeiras. Embora os números relativos a 2026 ainda não tenham sido divulgados, só podemos presumir que as taxas de adoção aumentaram. Os agentes de IA são utilizados para análises de conformidade, monitorização de transações, preparação de auditorias ou elaboração de relatórios regulamentares.
Considere um fluxo de trabalho típico de revisão mensal de conformidade. Um agente:
- Recupera documentos do SharePoint, do Box ou do Amazon S3
- Analisa e extrai dados, validando-os com base na documentação de apoio
- Consulta o Salesforce ou o Stripe para reconciliar discrepâncias nos pagamentos
- Cria tickets no Jira e encaminha-os para o departamento financeiro ou jurídico
- Notifica as equipas relevantes através do Teams ou por e-mail
- Elabora relatórios de conformidade regulamentar e exporta-os para as partes interessadas externas
São seis etapas, vários sistemas e nenhuma verificação de ficheiros. Todos os documentos que entram no fluxo de trabalho são considerados fiáveis. Isso é, ao mesmo tempo, a conceção e o problema.
Por que razão os fluxos de trabalho financeiros estão mais expostos a riscos de segurança relacionados com a IA agênica?
Com exceção dos hacktivistas ou de atores patrocinados pelo Estado, a maioria dos atacantes concentra-se principalmente em setores que oferecem grandes ganhos, sem qualquer outra motivação por trás. No ano passado, os setores visados foram a indústria transformadora, os cuidados de saúde, o setor financeiro e a administração pública; setores que dispõem de conjuntos de dados valiosos e que têm muito a perder.
No caso de roubo direto, os hackers visam redes de pagamentos, contas bancárias e infraestruturas de blockchain para desviar fundos diretamente. As instituições financeiras também são alvo devido à intensa pressão para manter as operações, a conformidade e a confiança do público, o que as torna mais propensas a pagar resgates para recuperar os sistemas.
As operações específicas do setor também podem ser um fator a ter em conta. Os fluxos de trabalho da Agentic ligam-se a processadores de pagamentos, sistemas ERP, portais regulamentares, armazenamento na nuvem e portais de auditores. Cada uma dessas ligações constitui um limite de confiança e cada limite de confiança representa um potencial ponto único de falha.
A IA agênica está a ganhar terreno devido à sua execução à velocidade das máquinas e a todas as promessas de ganhos de produtividade que lhe estão associadas. Mas é precisamente nessa velocidade que reside o perigo.
A única coisa que costumava impedir que uma fatura maliciosa ou um relatório de auditoria infetado fosse aberto era uma pessoa que hesitasse antes de o abrir. A Agentic AI elimina completamente esse ponto de controlo. Um ficheiro infetado que teria ficado na caixa de entrada de alguém durante um dia é agora importado, lido e processado em segundos.
As organizações também enfrentam dificuldades com os colaboradores que adotam ferramentas de IA fora dos canais regulamentados ou que partilham dados não autorizados com a IA. Em 2023, engenheiros da Samsung carregaram código-fonte proprietário e notas de reuniões internas no ChatGPT. No verão passado, o então diretor interino da CISA carregou documentos governamentais confidenciais numa sessão pública do ChatGPT.
Se as ferramentas de chat não regulamentadas criaram tanta exposição, os fluxos de trabalho de agentes não regulamentados, com acesso direto a sistemas de pagamento e dados regulamentares, aumentam consideravelmente os riscos.
Cenários de ameaça reais para a IA agentiva no setor financeiro
As famílias de malware que têm como alvo o setor financeiro há mais de uma década não precisam de evoluir muito para explorar fluxos de trabalho baseados em agentes. Chamem-lhe malware de IA baseado em agentes, se quiserem: as mesmas cargas maliciosas, mas um caminho mais rápido e menos supervisionado para se propagar. Para citar alguns:
- Emotet, o trojan bancário que se propagou durante anos através de e-mails de spam disfarçados de faturas e avisos de pagamento, utilizando documentos do Word com macros ativadas como mecanismo de distribuição; a CISA classificou-o como uma das famílias de malware mais dispendiosas de remediar. Num fluxo de trabalho baseado em agentes, o mecanismo funciona exatamente da mesma forma. Um agente recebe o anexo da «fatura» como parte do processamento rotineiro de documentos. Sem uma segurança de ficheiros para agentes de IA implementada nessa fase, nada o impede de sincronizar o ficheiro com o SharePoint, como parte da indexação normal, ou de o partilhar no Teams pelo próprio agente.
- Carbanak foi um assalto a um banco no valor de mil milhões de dólares, levado a cabo através de faturas maliciosas. Os atacantes utilizaram anexos maliciosos do Word e CPL para obter acesso inicial e, em seguida, avançaram pelos sistemas internos até chegarem aos serviços de processamento de pagamentos, caixas automáticas e transferências SWIFT. O assalto original exigiu cerca de dois anos de movimentação lateral paciente por parte de operadores humanos. Num ambiente de agentes, um agente com acesso permanente a sistemas ERP ou de pagamentos poderia, em princípio, aceder à mesma classe de sistemas numa única ação automatizada.
- FIN7 construiu a sua carreira com e-mails de spear-phishing que continham documentos do Office que exploravam vulnerabilidades conhecidas, levando ao roubo de credenciais e à exfiltração de dados de cartões de pagamento e registos financeiros de mais de 100 organizações. Basta enviar o mesmo documento a um agente com permissões autónomas para processar e-mails ou ficheiros, e a ingestão, a exposição de credenciais e a exfiltração podem ocorrer em cadeia sem que ninguém chegue a rever o ficheiro.
- A injeção de prompts é uma situação em que a ameaça agênica já é real, e não hipotética. A Microsoft divulgou o EchoLeak (CVE-2025-32711), uma vulnerabilidade de injeção de prompts «zero-click» no Microsoft 365 Copilot, em que instruções ocultas incorporadas num e-mail levavam o Copilot a executá-las automaticamente. A injeção de prompt é uma nova classe de ataque que nem sequer necessita de malware para funcionar, pelo que não pode ser identificada de todo por deteção baseada em assinaturas. É precisamente isso que a torna a mais difícil de detetar das quatro.
Quanto à realidade do setor financeiro na prática:
- O custo médio de uma violação causada pela Shadow AI pode atingir 4,63 milhões de dólares; isto representa mais 670 mil dólares do que uma violação normal.
- Quase metade (48 %) dos profissionais de segurança classificou a IA autônoma como o principal vetor de ataque em 2026.
- E apenas 33 % das organizações dispõem dos dados essenciais para implementar práticas sólidas de segurança em matéria de IA.
Como os quadros regulamentares abrangem a IA agênica
A maioria dos quadros regulamentares do setor financeiro já incluiu a IA agênica nas suas regras de conformidade, exigindo que as organizações associem o comportamento dos agentes aos mesmos controlos que aplicam a outros fluxos de trabalho. Por conseguinte, a IA agênica constitui uma questão regulamentar e está no centro da forma como os inspetores definem atualmente os riscos da IA nos serviços financeiros.
- A DORA trata os agentes de IA como sistemas de TIC. Com a lei em vigor desde 17 de janeiro de 2025, as entidades financeiras da UE têm de integrar as falhas dos agentes nos mesmos pilares de gestão de riscos de TIC, notificação de incidentes e testes de resiliência que se aplicam a todos os outros sistemas. A BaFin alemã confirmou isto diretamente nas orientações de janeiro de 2026: os agentes e os LLMs não beneficiam de um regime separado e têm de se enquadrar nas estruturas de governação e testes existentes da DORA. Um ficheiro que um agente trate de forma incorreta é, ao abrigo da DORA, um incidente de TIC como qualquer outro.
- PCI DSS aplica-se a qualquer sistema que armazene, processe ou transmita dados de titulares de cartões, ou que possa afetar a segurança desses dados; o PCI Security Standards Council afirmou explicitamente que isto inclui sistemas de IA com acesso a informações de pagamento protegidas. Uma fatura ou extrato em que um agente intervenha entra no âmbito da PCI da mesma forma que um sistema operado por humanos, o que significa que se aplicam os mesmos controlos; seja um agente ou não.
- Regras da SEC relativas à divulgação de incidentes cibernéticos exigem que as empresas cotadas em bolsa divulguem incidentes de cibersegurança relevantes no prazo de quatro dias úteis após a determinação da sua relevância. A regra não faz distinção entre um incidente provocado por erro humano e um provocado por um agente autónomo. Se um ficheiro sobre o qual um agente atuou vier a expor dados relevantes, o prazo de divulgação começa a contar da mesma forma que para qualquer outra violação.
- A FINRA e a FFIEC colocaram a governação da IA no centro da sua análise. O Relatório Anual de Supervisão Regulatória de 2026 da FINRA dedicou a sua primeira secção específica à IA generativa e à IA agênica, com expectativas em matéria de testes, monitorização, revisão humana e manutenção de registos relativos às atividades impulsionadas pela IA.
Conclusão: uma infeção baseada em ficheiros e propagada por IA pode desencadear um incidente de TIC ao abrigo da DORA, uma violação do âmbito de aplicação ao abrigo da PCI DSS, uma determinação de materialidade ao abrigo das regras da SEC e uma lacuna de supervisão assinalada pelos inspetores da FINRA ou da FFIEC.
Cinco medidas para os responsáveis pela segurança financeira
Tal como já foi antecipado, os controlos da IA Agentic começam ao nível do ficheiro; ou seja, tudo começa com uma pergunta: o quecontém o ficheiro que este agente está prestes a processar?
Com base na resposta, surge um conjunto de boas práticas (que devem tornar-se hábitos):
- Trate todas as entradas como não confiáveis, incluindo ficheiros provenientes de fontes internas confiáveis, e encaminhe-as através de uma camada de análise dedicada antes que um agente as veja.
- Com base no princípio da confiança zero, combine políticas de segurança e inspeção em várias camadas para determinar se o ficheiro está ou não comprometido.
- Definir o que se entende por «ações destrutivas » no contexto da IA agênica e, em seguida, estabelecer definições explícitas das políticas.
- Valide e proteja os percursos de circulação de dados entre os sistemas com os quais os seus agentes interagem: armazenamento, CRM, processadores de pagamentos, gestão de bilhetes e ferramentas de comunicação.
- Proteja ambientes de armazenamento como o SharePoint e o S3 através de uma análise orientada por eventos, para que os ficheiros sejam verificados no momento em que são carregados, e não depois de um agente já ter atuado sobre eles.
Como o MetaDefender™ Cloud se integra no fluxo de trabalho
Os cenários de ameaça acima referidos só são tecnicamente possíveis se um ficheiro chegar a um agente antes de alguém ter confirmado que é seguro. O MetaDefender™ Cloud intervém e remove a ameaça. Eis como funciona.
Um ficheiro entra no fluxo de trabalho, seja a partir de uma caixa de entrada, de uma unidade partilhada ou de um portal de carregamento. MetaDefender Cloud intercepta-o antes mesmo de o agente de IA o tocar. A partir daí, mais de 20 motores antimalware (através da tecnologia Metascan™ Multiscaning ), a tecnologia Deep CDR™, o Proactive DLP™ e a Adaptive Sandbox tecnologia funcionam em paralelo:
- Os motores procuram assinaturas conhecidas.
- A tecnologia Deep CDR™ remove e reconstrói o ficheiro, de modo a que nenhum conteúdo ativo permaneça, independentemente de ter sido detetado ou não.
- O Adaptive Sandbox executa ficheiros num ambiente isolado para observar o seu comportamento.
- Proactive DLP oculta os dados sensíveis antes de estes seguirem para a próxima etapa.
Se o ficheiro for malicioso, é bloqueado antes mesmo de chegar aos agentes ligados. E todo o processo pode ser mapeado para as provas exigidas pelos auditores da DORA, da PCI DSS e da SEC.
Sem o MetaDefender Cloud , o fluxo de trabalho baseado em agentes funciona às cegas; os ficheiros são importados diretamente para o fluxo de trabalho de IA sem qualquer verificação ao longo desse percurso, pelo que malware, macros maliciosas e injeções de prompts passam despercebidos. Ninguém tem visibilidade do conteúdo dos ficheiros ou das ameaças incorporadas até que algo a jusante falhe. Um único documento malicioso pode transformar-se num incidente que afeta toda a organização em poucos minutos, dada a rapidez com que um agente pode sincronizar, partilhar e agir. E quando uma entidade reguladora eventualmente solicitar provas do que aconteceu e quando, não há qualquer registo de auditoria para apresentar.
Com isso, esse mesmo ficheiro passa por um ponto de controlo antes mesmo de o agente o ver. A ideia principal é alterar a localização desse ponto de controlo. Se o colocarmos à frente do agente, a velocidade deste deixa de ser um obstáculo. É essa a premissa fundamental de uma segurança baseada em IA agentiva bem concebida.
Comece a utilizar MetaDefender Cloud
A IA agênica está a demonstrar o que é possível quando as análises de conformidade, a preparação para auditorias e a monitorização de transações são realizadas em minutos, em vez de dias. Mas o ficheiro infetado chega e nada o impede.
Quer adivinhar o que essa velocidade implica num erro ou num ficheiro malicioso, quando nada o verifica primeiro? Mude o ponto de controlo. Coloque-o antes do agente, em vez de depois do incidente, e a exposição a ameaças baseadas em ficheiros deixa de ser uma questão de sorte.
Fale com um especialista sobre como proteger o seu pipeline de IA agênica com a MetaDefender Cloud .
Perguntas mais frequentes
O que é a IA agênica e por que razão cria novos riscos de cibersegurança?
A IA agênica refere-se a sistemas de IA capazes de recuperar dados de forma independente, realizar ações em sistemas interligados e concluir tarefas com várias etapas sem necessidade de aprovação humana em cada etapa. No setor financeiro, essa autonomia significa que um único ficheiro pode desencadear ações como a extração de dados, consultas ao sistema, criação de tickets e elaboração de relatórios externos — tudo isto antes mesmo de uma pessoa o analisar.
De que forma é que um único ficheiro infetado pode comprometer o fluxo de trabalho de um agente de IA?
Um agente pode receber um ficheiro malicioso sem se aperceber e, em seguida, executar ações com base nesse ficheiro. Isso pode significar sincronizar o ficheiro entre sistemas de armazenamento, partilhá-lo em canais de comunicação ou executar código incorporado no próprio contexto de execução do agente, tudo isto sem a etapa de revisão manual que costumava detetar estes ataques.
O que é a injeção de prompts e como é que isso afeta os agentes de IA na área financeira?
A injeção de prompts consiste em ocultar instruções no interior de um documento que um agente de IA interpreta como comandos. Como não envolve código malicioso, as ferramentas tradicionais de deteção de vírus e malware não a identificam, o que torna especialmente difícil a sua deteção em fluxos de trabalho financeiros que processam grandes volumes de documentos externos.
De que forma a IA «sombra» expõe as instituições financeiras a violações de dados?
A «IA na sombra» refere-se à utilização de ferramentas de IA pelos colaboradores fora dos canais aprovados e regulamentados. Assim que esses dados saem do controlo da organização, não é possível recuperá-los e não existe qualquer registo de auditoria para efeitos de conformidade.
Que regulamentação rege a IA autônoma nos serviços financeiros?
A DORA, a PCI DSS, as regras de divulgação cibernética da SEC e as normas de inspeção da FINRA/FFIEC abordam todas a utilização da IA agentiva no setor financeiro, embora nenhuma tenha sido elaborada especificamente para esse fim. Cada uma delas exige uma combinação de governação, testes, tratamento de dados validados e comunicação de incidentes, requisitos que os fluxos de trabalho agentivos devem ser concebidos para cumprir.
Como posso adicionar segurança aos ficheiros a um pipeline de agentes de IA já existente?
Insira uma camada de análise dedicada entre a importação de ficheiros e o processamento pelo agente. Cada ficheiro é inspecionado antes de o agente agir sobre ele, em vez de se depender do próprio agente para detetar conteúdo malicioso.
O que é que a inspeção de ficheiros faz que um antivírus tradicional não faz?
Os sistemas antivírus tradicionais baseiam-se principalmente em assinaturas de malware conhecidas. MetaDefender Cloud combina a análise múltipla, a tecnologia Deep CDR™ (que reconstrói ficheiros para remover conteúdo ativo potencialmente malicioso) e o sandboxing para detetar ameaças de dia zero e documentos maliciosos que as ferramentas baseadas em assinaturas não conseguem detetar de todo.
Qual é a diferença entre a segurança baseada em IA agênica e a segurança tradicional de terminais?
A segurança tradicional de terminais protege o dispositivo onde um ficheiro é armazenado. A segurança baseada em IA com agente deve proteger todo o fluxo de trabalho — desde a ingestão até todos os sistemas aos quais o agente se liga. Uma ferramenta de segurança de terminais só deteta um ficheiro se este passar por um dispositivo gerido; um agente pode ingerir, transformar e agir sobre um ficheiro em armazenamento na nuvem, ferramentas SaaS e sistemas de pagamento sem que um terminal gerido seja, de alguma forma, envolvido.
Será que as ferramentas de segurança tradicionais conseguem detetar ataques de injeção de prompt?
Não. A injeção instantânea oculta instruções em texto simples dentro de um documento; não há código malicioso, nem exploit, nem assinatura para comparar. Os antivírus tradicionais e as ferramentas EDR não conseguem detetá-la. A deteção requer uma inspeção sensível ao conteúdo e um ambiente de sandbox capazes de observar como um agente de IA se comporta ao processar o documento, que é precisamente o que o MetaDefender Cloud ’s Adaptive Sandbox oferece.
