Brasil é o 3º país do mundo com maior previsão de crescimento de agentes de IA, atrás só de Israel e Hong Kong

Pesquisa global da Palo Alto Networks com quase 3 mil tomadores de decisão em cibersegurança aponta avanço de 113% nas identidades de IA dentro das empresas brasileiras nos próximos 12 meses. O problema: 9 em cada 10 companhias no país já foram hackeadas justamente por esse caminho.

Enquanto o debate público sobre inteligência artificial gira em torno de chatbots e geradores de imagem, uma transformação silenciosa está acontecendo dentro das empresas brasileiras. Agentes de IA, programas autônomos que tomam decisões, acessam dados e executam tarefas sem supervisão humana direta, estão se multiplicando em ritmo acelerado. E o Brasil aparece no pódio global desse fenômeno.

Em Xataka Brasil

OpenAI está trabalhando em seu próprio dispositivo de IA: embora vazamentos sejam imprecisos, aqui está o que sabemos até agora

Segundo o relatório "2026 Identity Security Landscape", divulgado pela Palo Alto Networks e conduzido pela consultoria Vanson Bourne com 2.930 executivos de cibersegurança em 20 países, o Brasil terá um crescimento de 113% no número de identidades de agentes de IA nos próximos 12 meses. É a terceira maior projeção do planeta, atrás apenas de Israel e Hong Kong, e a maior das Américas.

O que é uma "identidade de agente de IA" e por que isso importa

Toda vez que um sistema automatizado precisa acessar um dado, executar uma ação ou se comunicar com outro sistema, ele precisa de uma credencial, exatamente como um funcionário humano precisa de login e senha. Essa credencial é o que o setor chama de identidade.

A diferença é de escala. Hoje, segundo o levantamento, cada empresa convive com uma média de 109 identidades de máquina para cada humano. Dentro desse universo, 79 são especificamente de agentes de IA. Ou seja, para cada pessoa de carne e osso no seu trabalho, existem 79 "colegas" de IA com login próprio, circulando pelos sistemas, acessando arquivos e tomando decisões.

E esse número está prestes a explodir. No mundo todo, a expectativa é de avanço de 85% nas identidades de agentes de IA em 12 meses. No Brasil, como já vimos, o salto será ainda maior, de 113%.

A face oculta do problema: 91% das empresas brasileiras já foram hackeadas

A multiplicação acelerada dessas identidades vem acompanhada de uma exposição preocupante. No Brasil, 91% das empresas ouvidas afirmam ter sofrido alguma violação de segurança baseada em identidade nos últimos 12 meses. O índice está praticamente colado à média global de 90%, com um detalhe: 83% das organizações no mundo passaram por pelo menos duas dessas violações no mesmo período, e 76% por três ou mais.

Os tipos de ataque mais comuns relatados pelas empresas brasileiras foram:

• Phishing e vishing (engenharia social por e-mail e voz): 70%
• Roubo de credenciais: 63%
• Ataques baseados em credenciais comprometidas: 63%
• Roubo de identidades de terceiros: 60%
• Ataques contra tokens e APIs: 60%

A pesquisa também revela um dado constrangedor: 93% das empresas brasileiras admitem conceder a seus funcionários mais permissões do que o necessário para o trabalho. Globalmente, 96% reconhecem o mesmo problema, e em média 42% da força de trabalho tem acesso direto a dados organizacionais sensíveis.

"Os adversários agora fazem login em vez de invadir"

A frase é de Peretz Regev, Chief Product and Technology Officer da Palo Alto Networks, e resume bem a mudança de paradigma. Em vez de quebrar firewalls ou explorar vulnerabilidades de software, os criminosos preferem o caminho mais curto: roubar uma credencial, fazer login e operar como se fossem usuários legítimos.

Com agentes de IA no jogo, a estratégia se torna ainda mais perigosa. Esses programas não pausam para pensar nem questionam o acesso que receberam, eles agem em velocidade de máquina, segundos depois de serem ativados. Se a credencial cair em mãos erradas, o estrago é imediato.

O relatório aponta um descompasso revelador. Embora 90% das empresas concordem que agentes de IA deveriam operar sob o princípio do privilégio mínimo, ou seja, com o menor nível de acesso possível, menos da metade aplica controles básicos como monitoramento comportamental ou revogação automática de credenciais. Na prática, a maioria dos agentes circula com mais poder do que precisa.

A janela de ataque é menor do que a janela de resposta

Outro dado preocupante: 97% das empresas afirmam que a fragmentação de ferramentas de segurança aumenta o tempo de resposta a incidentes, adicionando em média 12 horas a cada ocorrência. Enquanto isso, segundo a unidade de inteligência Unit 42 da Palo Alto Networks, as invasões mais rápidas do mundo real já conseguem extrair dados em apenas 72 minutos.

A conta não fecha. Quando o atacante leva pouco mais de uma hora para roubar informações e o time de defesa demora meio dia a mais só para entender o que aconteceu, o resultado é previsível.

A resposta do mercado: plataformas que tratam IA como usuário

Foi nesse contexto que a Palo Alto Networks anunciou, junto com o relatório, a Idira, uma plataforma de segurança de identidade que promete tratar humanos, máquinas e agentes de IA sob o mesmo conjunto de regras. A proposta é eliminar privilégios permanentes e conceder acesso apenas quando ele é efetivamente necessário, em um modelo conhecido como Zero Standing Privilege.

A lógica é simples: uma credencial que não existe não pode ser roubada. Se o agente de IA só recebe acesso elevado por alguns segundos, durante uma tarefa específica, a janela de exploração se reduz drasticamente.

Outras empresas do setor, como Microsoft, CrowdStrike e Okta, também aceleraram lançamentos voltados à proteção de identidades agênticas nos últimos meses, sinal de que o problema deixou de ser teórico.

O próximo capítulo: criptografia quântica e o ataque que ainda vai acontecer

Nem só de IA vive a corrida da cibersegurança. O relatório também acende um alerta sobre o chamado "harvest now, decrypt later" (colher agora, decifrar depois), um tipo de ataque em que dados criptografados são roubados hoje para serem decifrados no futuro, quando computadores quânticos forem capazes de quebrar a criptografia atual.

No Brasil, 97% das empresas afirmam já ter tomado alguma medida nessa direção, mas 88% admitem que vão precisar de ajuda externa para concluir a transição. Globalmente, 64% das organizações ainda não estão preparadas para ameaças quânticas.

A mensagem do relatório é clara. A identidade, seja a sua, a do seu colega ou a de um agente de IA invisível operando no servidor da empresa, virou o principal campo de batalha da segurança digital. E o Brasil, por estar entre os países que mais rapidamente adotam essa nova força de trabalho automatizada, também é um dos mais expostos.