Especialista PWN AI Artyom Semenov: como agentes de IA deletam arquivos e se comprometem

Em 2026, o Habr publicou uma entrevista com Artem Semenov, autor do canal Telegram PWN AI dedicado a aplicações inseguras de inteligência artificial, sobre como a segurança dos sistemas de IA é estruturada e por que os ataques a modelos de linguagem se tornaram uma disciplina separada com sua própria taxonomia, ferramentas e incidentes do mundo real.

Como a superfície de ataque cresceu

Segundo Semenov, o surgimento de agentes de IA autônomos e do protocolo MCP (Model Context Protocol) expandiu drasticamente a superfície de ataque em sistemas de IA. Se antes era principalmente sobre manipulações de respostas do modelo de linguagem, agora os agentes têm a capacidade de realizar independentemente ações no mundo real — deletar arquivos, enviar dados para fora e até se hackear, o que torna as consequências de um ataque bem-sucedido muito mais tangíveis do que apenas uma "resposta errada" de um chatbot.

Por que prompts do sistema não salvam você

A tese-chave da entrevista — um prompt do sistema não é um limite de segurança. As instruções incorporadas pelos desenvolvedores no prompt de um modelo podem ser contornadas, e confiar nelas como barreira protetora não é aconselhável. Separadamente, Semenov discute a diferença entre injeção de prompt direto, quando uma instrução maliciosa é inserida diretamente pelo usuário no diálogo com o modelo, e injeção de prompt indireto, quando uma instrução maliciosa entra no modelo através de dados externos — documentos, páginas da web, emails ou resultados de ferramentas que o agente processa enquanto completa uma tarefa, sem nem suspeitar.

• Entrevistado — Artem Semenov, autor do canal Telegram PWN AI sobre aplicações inseguras de IA
• Esta é já a segunda entrevista de Semenov com o Habr: a primeira conversa sobre segurança e IA foi publicada em 2023
• Tópicos-chave — crescimento da superfície de ataque através de agentes e do protocolo MCP, limitações de prompts do sistema como proteção, a diferença entre injeção de prompt direto e indireto
• A segurança de sistemas de IA é descrita como uma disciplina separada com sua própria taxonomia e ferramentas, não como um tópico secundário da segurança clássica

O que está por trás da palavra "taxonomia"

Semenov enfatiza que a proteção de sistemas de IA não é mais uma coleção de conselhos díspares como "não confie na entrada do usuário", mas uma disciplina sistemática: ela tem sua própria classificação de ataques, suas próprias ferramentas para teste e seu próprio conjunto de incidentes documentados que podem ser referenciados. Para engenheiros e empresas que incorporam modelos de linguagem e agentes em seus produtos, isso significa a necessidade de construir proteção contra esses ataques tão sistematicamente quanto a proteção contra vulnerabilidades clássicas como injeção SQL ou XSS, em vez de confiar que o modelo "se encare", onde a instrução legítima termina e o ataque começa.

Por que essa conversa está acontecendo pela segunda vez

Esta não é a primeira vez que o Habr se volta para o tópico de segurança de IA com este entrevistado: uma conversa similar com Semenov foi publicada na plataforma em 2023. A decisão de revisitar o tópico e atualizar os dados é em si mesma indicativa — no tempo decorrido, a indústria passou de chatbots simples, que no pior dos casos dariam uma resposta inadequada, para agentes autônomos com acesso ao sistema de arquivos, serviços externos e ferramentas através de protocolos como MCP. Consequentemente, as apostas aumentaram: um erro na proteção agora pode custar não um diálogo arruinado, mas arquivos realmente deletados ou dados vazados.

O que isso significa

A conversa captura uma mudança de escala: se até recentemente ataques a modelos de linguagem eram mais um exercício acadêmico, então com a disseminação de agentes autônomos que realmente deletam arquivos, enviam dados para fora e são vulneráveis ao auto-hacking, a segurança de sistema de IA se torna um problema prático de engenharia — o mesmo que a segurança de qualquer outro software crítico, apenas com uma nova taxonomia de ameaças específica para agentes e protocolos MCP.