Risco dentro do SOC: como o Agentic Denial of Service pode transformar a IA em arma
A adoção de agentes de inteligência artificial para automatizar tarefas de segurança, TI e operações em nuvem traz ganhos de velocidade, mas também cria uma nova superfície de risco. Uma das ameaças associadas a esse cenário é o Agentic Denial of Service (ADoS): uma forma de interrupção que não precisa derrubar servidores ou firewalls. Em vez disso, explora os próprios agentes e recursos automatizados da organização até comprometer sua capacidade de operar.
No ADoS, o alvo pode ser o agente de IA, a infraestrutura que permite seu funcionamento ou os serviços que ele deveria proteger. O problema surge quando uma sequência excessiva de solicitações, cálculos ou ações consome recursos e prejudica a resposta da empresa. Assim, a automação concebida para acelerar a defesa pode acabar ampliando o impacto de uma atividade maliciosa.
1. Negação de segurança: sobrecarregar a defesa
Em um centro de operações de segurança (SOC) apoiado por IA, um alerta pode acionar várias etapas: coleta de informações, análise de contexto, consulta a sistemas internos e produção de recomendações. Cada investigação exige recursos, como tokens, chamadas de API, capacidade de enriquecimento de dados e tempo dos analistas.
Um atacante pode explorar esse fluxo ao provocar muitos eventos que pareçam relevantes. A intenção não é necessariamente interromper os sistemas, mas deixar a equipe de segurança ocupada com alertas e investigações de baixo valor. Com isso, a detecção de uma invasão real pode atrasar, enquanto aumentam os custos e a pressão sobre a operação.
Há ainda o risco de manipular as informações utilizadas pelo assistente de IA. Se as fontes consultadas forem contaminadas ou estiverem incorretas, o agente pode produzir análises convincentes, mas equivocadas. Uma resposta apresentada com segurança não é garantia de que os dados que a sustentam sejam confiáveis.
2. Negação de infraestrutura: quando a automação provoca a interrupção
Agentes de IA dependem de serviços compartilhados para executar suas tarefas. Entre eles estão DNS, APIs, recursos de nuvem e componentes de rede. Uma falha ou uma sequência anormal de chamadas pode afetar esses serviços e repercutir em diferentes áreas da organização.
Por exemplo, um agente responsável pela confiabilidade de sistemas pode ficar preso em um ciclo de correções, repetindo ações sem resolver a causa do problema. Da mesma forma, uma entrada maliciosa pode levar um orquestrador a acionar dezenas de agentes especializados. O resultado pode incluir lentidão intermitente, limitação de APIs e aumento inesperado das despesas com computação em nuvem.
Esse tipo de disrupção nem sempre se parece com um ataque tradicional de negação de serviço. Em vez de um grande volume de tráfego externo, a organização pode observar uma série de tarefas automatizadas que, individualmente, parecem legítimas. Por isso, monitorar apenas a disponibilidade dos servidores não basta: também é necessário acompanhar o comportamento dos agentes e o consumo de recursos.
3. A resposta defensiva pode ampliar o dano
O cenário mais delicado não exige que o agente seja malicioso. Para acompanhar a rapidez dos ataques, empresas podem conceder mais autonomia aos sistemas de IA. Se o agente interpretar um contexto de forma errada, uma ação legítima, mas inadequada, pode agravar a ocorrência.
Um agente de suporte, por exemplo, pode redefinir milhares de senhas sem perceber que a causa do problema é uma falha no provedor de identidade. A ação, em vez de restaurar o acesso, pode atrasar a recuperação e aumentar o impacto sobre os usuários.
Um invasor também pode tentar induzir esse tipo de erro por meio de injeção de prompt, técnica que manipula as instruções interpretadas pelo agente. Nesse caso, a reação automatizada da organização pode se transformar em parte do ataque: a defesa executa ações prejudiciais acreditando estar respondendo a uma ameaça.
Como reduzir o risco de ADoS
A Infoblox recomenda que as organizações adotem controles em diferentes etapas da operação. Um princípio importante é agir cedo, quando a contenção ainda é simples e barata. Bloquear um destino malicioso durante uma consulta DNS, por exemplo, pode impedir uma conexão antes que ela acione processos mais complexos.
Também é importante analisar padrões de comportamento, não apenas eventos isolados. Uma chamada de API ou uma consulta pode ser normal por si só; dezenas de repetições em sequência, associadas a outras ações incomuns, podem revelar um ciclo automatizado ou uma tentativa de sobrecarga. A correlação entre sinais ajuda a identificar situações que passariam despercebidas em alertas separados.
A qualidade dos dados usados pelos agentes é outro ponto central. As automações devem se apoiar em fontes confiáveis, com validação e mecanismos para identificar informações inconsistentes. Isso reduz a chance de que dados manipulados orientem diagnósticos ou decisões incorretas.
Por fim, a autonomia precisa ter limites. Orçamentos de uso, limites de chamadas, cotas de recursos e controles de velocidade ajudam a evitar que um agente consuma capacidade sem restrições. Ações de alto impacto devem exigir aprovação humana, e a organização precisa manter um mecanismo para interromper rapidamente a automação quando ela apresentar comportamento anormal.
Governança e visibilidade precisam caminhar juntas
Essas medidas técnicas não substituem a governança dos sistemas de IA. É necessário definir quais decisões os agentes podem tomar, quais dados podem consultar e em que situações devem encaminhar o caso a uma pessoa. A gestão de identidade e os controles na camada de orquestração também são essenciais, sobretudo quando vários agentes podem acionar uns aos outros.
O DNS merece atenção especial porque está presente no início de grande parte das conexões. Monitorar essa camada pode oferecer visibilidade sobre destinos consultados e ajudar a bloquear atividades suspeitas antes que avancem. Ainda assim, nenhuma ferramenta isolada elimina o risco: a proteção depende da combinação de dados confiáveis, limites operacionais, supervisão e resposta coordenada.
À medida que a IA assume mais tarefas dentro do SOC, a segurança precisa considerar não apenas o que os agentes conseguem fazer, mas também o que pode acontecer quando recebem instruções manipuladas, entram em ciclos de execução ou consomem recursos em excesso. O objetivo é aproveitar a automação sem permitir que ela se torne um novo caminho para interromper a própria defesa.