Pular para o conteúdo
CyberArmorPlataforma para consultoria de segurança
riscos de agentes de IA na empresaassistente de IA acesso ao e-mailinjeção de promptpolítica de uso de IA

Assistentes de IA com acesso ao e-mail da empresa: riscos e controles

Um assistente de IA ligado ao e-mail, aos arquivos e aos sistemas da empresa age com o acesso de quem o conectou. Os riscos principais são dados sensíveis enviados à ferramenta, instruções escondidas em e-mails e documentos e permissão demais para agir. O gestor controla com inventário, permissão mínima, aprovação humana e política de uso escrita.

Por Equipe CyberArmor

O que muda quando o assistente de IA acessa o e-mail e os arquivos da empresa?

Um chat de IA comum só vê o texto que o funcionário cola nele. Um assistente conectado ao e-mail, ao drive ou ao sistema de gestão lê mensagens, abre arquivos e, em muitos casos, envia e-mails, cria documentos e altera registros. Esse tipo de assistente com poder de agir costuma ser chamado de agente de IA.

Para o negócio, o agente trabalha com a mesma chave de acesso de quem o conectou. Se o diretor financeiro liga um agente à caixa de entrada dele, o agente enxerga tudo o que o diretor enxerga. Um erro do agente, ou uma ordem falsa que ele obedeça, sai com o nome e a permissão do diretor.

A lista de riscos de aplicações com modelos de linguagem mais usada no mercado é o OWASP Top 10 for LLM Applications, edição 2025. Três itens dela descrevem bem o que preocupa uma pequena ou média empresa: divulgação de informação sensível, injeção de instruções (prompt injection) e agência excessiva.

Que dados a equipe pode estar enviando para ferramentas de IA sem perceber?

O vazamento mais comum começa com boa intenção. Um vendedor cola a planilha de clientes para pedir um resumo. Alguém do RH envia um laudo médico para revisar o texto. O financeiro sobe o contrato de um fornecedor para achar uma cláusula.

O item LLM02:2025 da OWASP trata desse risco. Ele recomenda não inserir dados pessoais, financeiros, de saúde ou credenciais em ferramentas de IA. Também recomenda mascarar nomes e números antes de colar o texto e ler os termos de uso para saber se a ferramenta guarda o conteúdo ou o usa para treinar o modelo.

Na prática, contas pessoais gratuitas convivem com assinaturas pagas pela empresa, cada uma com regras próprias de guarda de dados. Sem esse mapa, ninguém sabe para onde foram os dados dos clientes.

O que é injeção de instruções e por que ela atinge agentes ligados ao e-mail?

Injeção de instruções é um texto escrito para mudar o comportamento da IA. A OWASP descreve dois tipos no item LLM01:2025. No tipo direto, alguém digita a ordem maliciosa no chat. No tipo indireto, a ordem vem escondida no conteúdo que a IA lê, como uma página, um arquivo ou um e-mail.

O tipo indireto é o que pesa para quem liga um agente ao e-mail. Qualquer pessoa de fora pode mandar uma mensagem para sua empresa. Se o agente lê essa mensagem, lê também as ordens escondidas nela.

Um caso real mostra o mecanismo. Em junho de 2025, a empresa de segurança Aim Security revelou a falha chamada EchoLeak no Microsoft 365 Copilot, registrada como CVE-2025-32711 no NVD. Segundo a reportagem do The Hacker News de 12/06/2025, bastava enviar um e-mail com instruções escondidas. Quando o funcionário fazia uma pergunta de trabalho ao Copilot, o assistente lia o e-mail junto com dados internos e os enviava para fora. A Microsoft corrigiu a falha do lado dela, sem ação do cliente, e não houve registro de exploração real.

A OWASP avisa que nenhuma técnica elimina esse risco. A defesa principal é limitar o que o agente consegue fazer quando for enganado.

Por que permissão demais é o risco que mais pesa para a empresa?

A OWASP chama esse problema de agência excessiva (LLM06:2025). O agente recebe ferramentas, permissões ou autonomia além do necessário. Quando ele erra ou é manipulado, o dano é do tamanho dessa permissão.

As medidas que a OWASP recomenda cabem em qualquer empresa:

  • dar ao agente só as ferramentas de que ele precisa para a tarefa;
  • conceder acesso somente leitura sempre que possível;
  • fazer o agente agir com a identidade do usuário, nunca com uma conta de administrador compartilhada;
  • exigir que uma pessoa aprove ações de impacto, como enviar, apagar ou pagar;
  • conferir a autorização no sistema de destino, sem deixar a decisão com a IA.

Um exemplo concreto: um agente que só resume e-mails não precisa de permissão para enviar e-mails. Se ele não tem essa permissão, uma instrução escondida não consegue usá-lo para mandar dados para fora pela caixa de saída.

O que a LGPD exige quando dados pessoais passam por uma ferramenta de IA?

O art. 46 da LGPD obriga os agentes de tratamento a adotar medidas de segurança, técnicas e administrativas, para proteger os dados pessoais de acessos não autorizados e de qualquer forma de tratamento inadequado ou ilícito. A lei não traz regra específica para ferramentas de IA. Ela pede medidas de segurança para qualquer tratamento. O art. 5º, inciso X, define tratamento como toda operação com dados pessoais, e a lista inclui transmissão e transferência.

Se um incidente puder trazer risco ou dano relevante aos titulares, o art. 48 da mesma lei manda o controlador comunicar a ANPD (Autoridade Nacional de Proteção de Dados) e os titulares. Uma política de uso de IA, com registro de quais ferramentas são aprovadas, é uma das medidas administrativas que sua empresa consegue mostrar.

Que regras o gestor deve definir para o uso de agentes de IA?

O NIST AI RMF, o guia de gestão de riscos de IA do instituto de padrões dos Estados Unidos, organiza o trabalho em quatro funções: governar, mapear, medir e gerenciar. Para uma pequena ou média empresa, isso se traduz em cinco regras práticas:

  1. Inventário. Liste as ferramentas de IA em uso, quem usa e a que sistemas cada uma está conectada.
  2. Ferramentas aprovadas. Defina quais podem ser usadas com dados da empresa e em qual plano (conta corporativa com termos de uso conhecidos).
  3. Dados proibidos. Escreva o que nunca entra numa ferramenta de IA: dados de saúde, documentos de clientes, senhas e chaves de acesso.
  4. Permissão mínima. Revise os conectores de cada agente e corte o que não é usado. Prefira acesso somente leitura.
  5. Aprovação humana. Envio de e-mail, pagamento, exclusão e alteração de cadastro só com confirmação de uma pessoa.

Por onde começar na sua empresa?

O primeiro passo é saber o que já está em uso. O Diagnóstico de uso de IA da CyberArmor acompanha por 30 dias quais ferramentas de IA a equipe usa e o que é enviado a elas, sem interromper o trabalho. No fim, os analistas da CyberArmor entregam um relatório com os riscos encontrados e uma política de uso pronta para aplicar. Se a equipe também usa extensões de IA no navegador, veja o artigo sobre extensões de IA e injeção de instruções.

Falar com um especialista

Fontes