Uma pesquisa de segurança acendeu o alerta sobre um risco pouco discutido da automação com inteligência artificial: o que acontece quando um agente de IA confia demais em outro. Pesquisadores da Pillar Security revelaram que três fluxos automatizados do repositório ADK do Google, hospedado no GitHub, tinham uma brecha capaz de permitir a escalada de privilégios e o acesso a informações sensíveis — tudo a partir de um simples comentário público.
O ataque explorava uma técnica conhecida como injeção de prompt. Um invasor podia esconder instruções maliciosas em comentários de “issues” e pull requests, os chamados públicos que qualquer pessoa pode abrir em um projeto aberto. Essas instruções enganavam um robô assistente de baixo privilégio, que por sua vez acionava um segundo agente muito mais poderoso. O problema central, batizado pelos pesquisadores de “falha de identidade”, é que o fluxo mais privilegiado tratava a identidade do outro agente como se fosse uma autorização legítima.
Na prática, isso abria a porta para ações que deveriam estar restritas a desenvolvedores autorizados: executar código, alterar arquivos, criar propostas de atualização e, o mais grave, acessar tokens de longa duração, chaves de IA e credenciais da Google Cloud. Em um ambiente corporativo, uma cadeia como essa poderia comprometer não só o código de um projeto, mas também a infraestrutura em nuvem por trás dele.
A boa notícia é que a correção já foi aplicada. Segundo os pesquisadores, que divulgaram o achado em 3 de agosto de 2026, o Google removeu os três fluxos problemáticos ainda em junho, com confirmação definitiva em julho. O caso serve de lição para o setor inteiro: à medida que empresas passam a conectar agentes de IA com permissões diferentes, cada ponto de confiança entre eles vira uma possível porta de entrada. Para o desenvolvedor brasileiro que adota automações com IA no dia a dia, fica o recado de nunca tratar a saída de um agente como uma ordem confiável sem validação.
