Um relatório da empresa de segurança Arrakis Security indica que 76% dos agentes de inteligência artificial ativos em ambientes corporativos não executam nenhuma tarefa há pelo menos 60 dias. Mesmo assim, eles continuam com credenciais válidas e gatilhos funcionando. O estudo foi divulgado em 21 de outubro e acende um alerta para quem está adotando agentes de IA dentro das empresas.
Os dados vêm do 2026 Autonomous Agents Threat Report e foram coletados ao longo de 12 semanas em ambientes de clientes da própria Arrakis. A empresa fala em milhares de agentes analisados, sem informar um número exato.
Índice
O QUE O RELATÓRIO ENCONTROU
Além dos 76% parados há dois meses, 44% dos agentes não rodam há 180 dias. Esses agentes seguem com acesso a sistemas, o que cria uma superfície de ataque que ninguém monitora, já que ninguém lembra que eles existem.
Entre os agentes inativos, 24% podem ser acionados por um webhook sem assinatura, enviado de fora da organização. Isso significa que alguém externo poderia reativar o agente sem passar por nenhuma verificação.
OS RISCOS DESCRITOS
O relatório lista cinco situações de risco. A primeira é a dos agentes abandonados que mantêm acesso. A segunda é a dos gatilhos que podem ser acionados por fontes externas não autenticadas. A terceira envolve agentes que agem com base em respostas de modelos de terceiros, o que vale para 22% dos casos.
A quarta é o escalonamento indireto de privilégios. Segundo o estudo, 20% dos agentes podem repassar tarefas a outro agente com permissões diferentes e obter resultados que não conseguiriam produzir sozinhos. A quinta é o acesso a dados sensíveis sem controles efetivos de prevenção de perda de dados, o chamado DLP.
ACESSO A SISTEMAS SENSÍVEIS
Cerca de 70% dos agentes conseguem acessar sistemas sensíveis, como armazenamento em nuvem, serviços de IA e plataformas de marketing. Quase nenhuma dessas conexões tem DLP verificado. No total, 82% dos agentes têm pelo menos uma exposição, e 46% desses têm mais de uma.
O QUE DIZ A EMPRESA
O CEO e cofundador da Arrakis, Tal Baron, afirma que se fala muito sobre o risco dos agentes de IA e existem pouquíssimos dados. Ele observa que, quando um agente deixa de ser usado, geralmente ninguém remove seus acessos, porque ninguém é responsável por ele.
UMA RESSALVA IMPORTANTE
O material foi distribuído como comunicado de imprensa patrocinado, e os números vêm da própria empresa, sem verificação independente. A Arrakis também vende uma solução que varre os agentes a cada hora e monitora as ações em tempo real. O relatório, portanto, ajuda a entender o problema, mas deve ser lido considerando esse interesse comercial.
O QUE AS EMPRESAS PODEM FAZER
O texto não traz recomendações explícitas, mas o diagnóstico sugere medidas básicas de higiene. Manter um inventário de todos os agentes, definir um responsável por cada um, revogar credenciais de quem está parado e exigir assinatura nos webhooks são passos que reduzem boa parte da exposição descrita.
PERGUNTAS FREQUENTES
O que são agentes de IA dormentes?
São agentes que não executam tarefas há muito tempo, mas mantêm credenciais e gatilhos ativos.
Qual o principal número do relatório?
76% dos agentes ativos não executam há 60 dias, e 44% não executam há 180 dias.
Quem publicou o estudo?
A Arrakis Security, no 2026 Autonomous Agents Threat Report, com dados de 12 semanas.
Os dados são independentes?
Não. Vêm da própria empresa, que também vende uma solução de monitoramento de agentes.
