Arquitetura de segurança para agentes de IA: as camadas e as ferramentas que as cobrem

Um agente lê arquivos, chama APIs e altera registros, então a sua segurança é uma questão de arquitetura antes de ser uma questão de produto. Os fornecedores já vendem controles específicos para IA, mas os nomes se sobrepõem e o escopo muda. Este artigo é um mapa das camadas, com exemplos de ferramentas em cada uma; não é um guia de compra.

Comece pelas camadas

• Borda de rede: inspeciona o tráfego de e para serviços de IA e pode revelar usos de IA que ninguém aprovou.
• Gateway de IA: fica entre os seus aplicativos, agentes, modelos e ferramentas, e verifica os prompts e as chamadas de ferramentas.
• Identidade e escopo das ferramentas: cada agente tem a sua própria identidade, ferramentas restritas e aprovações para ações de risco.
• Detecção e resposta: telemetria de agentes, endpoints e identidades, com pessoas acompanhando.
• Testes antes do lançamento: ataques e avaliações que rodam na integração contínua, antes de uma mudança ir ao ar.

O que cada fornecedor diz que a sua ferramenta faz

• A Fortinet descreve o FortiAIGate como um gateway de IA auto-hospedado para modelos, agentes e ferramentas MCP. Ele fica entre os seus aplicativos, agentes, LLMs e ferramentas MCP, barra ataques e vazamentos de dados, aplica a política de uso e limita o gasto. A Fortinet diz que o FortiGate envia ao FortiAIGate o tráfego de IA que detecta.
• A Palo Alto Networks documenta um servidor MCP do Prisma AIRS que funciona interceptando as invocações de ferramentas, fazendo uma análise de segurança e devolvendo um veredito sobre a detecção ou não de uma ameaça.
• A CrowdStrike anunciou em setembro de 2025 um acordo para adquirir a Pangea, para entregar o que chama de detecção e resposta para IA, aplicando à IA o modelo de detecção e resposta em endpoints. Confirme o produto e a disponibilidade atuais com o fornecedor.
• O promptfoo se descreve como uma CLI e biblioteca de código aberto para avaliar e fazer red teaming de aplicações com LLM. O garak, da NVIDIA, é um scanner de vulnerabilidades de LLM de código aberto. Ambos podem rodar antes do lançamento.

Como as camadas se conectam

Uma requisição entra pela borda, chega ao agente, e então cada prompt e cada chamada de ferramenta passam pelo gateway de IA antes de chegar a um modelo ou a um sistema do negócio. A telemetria segue para a detecção e a resposta. Os testes de red team e as avaliações rodam na integração contínua, de modo que uma mudança que torne o agente mais fácil de enganar seja pega antes de os usuários verem.

Princípios que duram mais do que qualquer produto

• Assuma que o modelo pode ser enganado e garanta que um modelo enganado consiga fazer pouco: identidades restritas, credenciais de curta duração.
• Mantenha o controle fora do modelo. Políticas, limites e aprovações pertencem a um código que o modelo não consegue reescrever.
• Mantenha uma pessoa no circuito para ações de risco. A especificação do MCP diz que sempre deveria haver uma pessoa capaz de negar as invocações de ferramentas.
• Registre cada chamada de ferramenta com a identidade que agiu, para que um incidente possa ser reproduzido.

Perguntas para qualquer fornecedor

• Que camada ele cobre e qual deixa para outra pessoa?
• É auto-hospedado ou um serviço em nuvem, e para onde vão os prompts e os logs?
• Ele enxerga o tráfego de MCP e de agentes, ou só chamadas simples a modelos?
• Como as suas proteções são testadas e como se relacionam com as listas da OWASP? Trate as alegações de alinhamento do próprio fornecedor como alegações.