17.800 complementos de IA recebem ordens de fontes que ninguém verificou. Agora o endpoint pode bloquear o seu
By Surya Pratap
7 de setembro de 2026
11 min de leitura
IA e tecnologia
7 de setembro de 2026
11 min de leitura
A cadeia de suprimentos e o novo portãoHover to exploreNa maioria das semanas a notícia sobre agentes é uma capacidade. Nesta semana foi um portão.
Em 1º de setembro, duas coisas foram lançadas com horas de diferença. A CrowdStrike apresentou o Falcon Guardian, que inventaria todos os agentes de IA em execução numa máquina — inclusive os que ninguém registrou — e bloqueia os agentes que ninguém aprovou. E a AIR Security saiu do sigilo com 50 milhões de dólares para construir um firewall inline que filtra o que entra no contexto de um agente antes que ele aja.
Lidos em separado, dois anúncios de produto. Lidos juntos, são a mesma frase pelas duas pontas: os agentes estão chegando às empresas mais rápido do que qualquer um consegue contabilizar, e a resposta saiu da política para a aplicação efetiva.
Dois lançamentos, 1º de setembro de 2026
Um feito para ver e deter agentes, outro para checar o que eles carregam
Repare em quem está comprando. A AIR relata mais de 20 empresas já usando a plataforma, cerca de um quarto delas grandes corporações, com a demanda mais forte vindo de serviços financeiros e farmacêuticas. São os dois setores que historicamente decidem como serão as compras de todo mundo dezoito meses depois.
Não o aporte. Não o bloqueio. Esta:
Agente de IA na sombra. Conhecidos e na sombra, no Windows e no macOS.
"Agente de IA na sombra" agora é uma categoria nomeada dentro de um produto de segurança, com um inventário ao vivo anexado e um botão de bloqueio ao lado.
Essa formulação tem história. "Shadow IT" foi como o setor chamou por uma década a adoção de SaaS de baixo para cima — e a adoção de SaaS de baixo para cima foi, nessa mesma década, a estratégia de distribuição mais confiável que um fundador de software tinha. Você não vendia para o CIO. Você era instalado pela pessoa que precisava da ferramenta, e quando compras percebia, você já tinha quatrocentas licenças e um defensor interno.
Toda startup de agentes que conheço está rodando alguma versão desse manual agora mesmo. Um engenheiro instala o seu CLI. Um time conecta o seu servidor MCP. Ninguém abre um chamado.
A simetria desconfortável
Existe agora um produto cujo trabalho explícito é produzir a lista exatamente dessas instalações, nomear a pessoa que implantou cada uma e deter as que nunca foram aprovadas. Sua estratégia de distribuição e a lógica de detecção descrevem o mesmo evento. Isso não significa que você é a ameaça para a qual ela foi construída — mas o inventário não sabe disso no primeiro dia, e o analista de segurança que o lê também não.
É fácil ler o número da AIR como uma história sobre agentes maliciosos publicando skills nocivas. Parte é: complementos falsos vestindo a marca da Anthropic e da OpenAI para passar pela revisão são, simplesmente, um ataque.
Mas a maior parte desses 17.800 não é má-fé. São complementos que buscam suas instruções em outro lugar em tempo de execução — uma URL, um repositório, uma configuração hospedada — porque essa é uma forma perfeitamente sensata de entregar atualizações sem republicar o pacote. A cadeia de suprimentos está fazendo o que cadeias de suprimentos fazem.
O problema é o que isso significa quando há um agente do outro lado. Uma biblioteca que você instala executa o código que você auditou. Um complemento que puxa instruções em tempo de execução executa texto que chega depois, dentro de uma janela de contexto com as suas credenciais e as permissões das suas ferramentas anexadas. Não é uma dependência no sentido que o seu scanner de dependências entende. É um canal aberto para a parte do seu sistema que age.
Escrevi sobre a metade de identidade disso quando o roteiro do MCP começou a projetar o humano para fora do laço. Esta é a outra metade: não quem o agente é, mas de onde vieram as instruções dele.
A mesma pesquisa é um alerta apontado para o outro lado. A maioria dos fundadores que distribuem produtos de agentes também está, silenciosamente, rodando vinte complementos de outra pessoa na própria stack.
A linha do tempo forense completa da brecha do agente da OpenAI é a versão disso que já aconteceu, e o formato era o mesmo: o agente não foi comprometido; aquilo em que ele confiava foi.
Isto não é o fim do de baixo para cima. Bloqueio é uma capacidade que precisa ser ligada, ajustada e operada por gente. A maioria das empresas vai rodar descoberta por muito tempo antes de rodar bloqueio, porque um falso positivo que mata o agente de programação de um engenheiro é um chamado caro. O inventário chega bem antes do bloqueio.
Dois lançamentos em um dia são um sinal, não um mercado. Fornecedores concentram anúncios em torno de conferências, e a Fal.Con foi naquela semana. O que torna isso digno de nota é que um é um incumbente adicionando bloqueio e o outro é uma empresa de seis meses levantando 50 milhões sobre a mesma premissa — mas ainda são dois pontos de dados, e estou lendo uma direção neles.
Os 17.800 da AIR são pesquisa da própria AIR. Vem de uma empresa que vende a solução para aquilo que mediu, o que não torna o número errado — o achado de imitação de marca é concreto e verificável — mas o enquadramento do que conta como "não confiável" é deles, e a taxa de filtragem de 27% sugere que o número bruto era ainda mais ruidoso.
O interessante em 1º de setembro não é nenhum dos dois produtos. É que a pergunta mudou de "dá para confiar nos agentes" para "quais agentes estão rodando aqui, quem os colocou e eles deveriam estar". Essa é uma pergunta operacional, e perguntas operacionais são respondidas por ferramentas, e ferramentas são compradas.
Para fundadores que distribuem agentes, a mudança prática é pequena e irritante: o momento em que ninguém reparava em você sustentava peso, e ele está sendo instrumentado até sumir. O que o substitui não é pior, apenas mais lento e mais explícito — um artefato de aprovação, um responsável com nome, um escopo que você consiga descrever em uma página.
Para fundadores que rodam agentes, a mudança é maior. Sua lista de dependências agora também é uma lista de instruções, e a segunda nunca foi revisada por ninguém. 17.800 complementos e 6,7 milhões de instalações não é uma história sobre a postura de segurança dos outros. É uma estimativa decente de quantos desses canais estão abertos neste momento dentro de empresas comuns, inclusive a sua.
Fontes: Comunicado da CrowdStrike, "CrowdStrike Unveils Falcon Guardian to Secure AI Agents Where They Execute" · SiliconANGLE sobre o Falcon Guardian · SiliconANGLE sobre o lançamento da AIR Security · SecurityWeek sobre a rodada da AIR Security · As capacidades de produto, o aporte e os números da pesquisa são os relatados; o argumento sobre distribuição e as ressalvas da seção 6 são meus.
IdeaToMVP Academy
4-week live cohort for founders. Learn to ship AI agents, scope MVPs, and automate your business — taught by the same team that writes these guides.