Acalvio Lança Deception Guardrails, mas a Segurança de Agentes de IA Precisa de Mais do que Iscas

Acalvio lançou o Deception Guardrails em 30 de julho, adicionando uma nova camada de defesa para agentes de IA depois que filtros convencionais de modelos foram contornados. O recurso, com patente pendente, insere credenciais, ferramentas, serviços e dados falsos nos ambientes que os agentes inspecionam. Um agente malicioso ou comprometido pode revelar sua presença ao interagir com esses ativos antes de alcançar um sistema de produção.

Essa abordagem desloca a fronteira de segurança para além dos prompts. Em vez de presumir que um agente seguirá suas instruções, a Acalvio parte do princípio de que um invasor pode manipular o agente ou roubar sua identidade. A empresa então altera o que o sistema comprometido vê em tempo de execução.

O lançamento transforma uma técnica antiga de cibersegurança em um teste para um problema muito mais recente. Honeypots tradicionais atraem invasores humanos para sistemas monitorados. Agora, a Acalvio quer que uma infraestrutura enganosa desvie softwares capazes de raciocinar, chamar APIs, recuperar dados e agir com credenciais legítimas.

A tensão central é clara. A decepção pode gerar um alerta incomumente forte quando algo toca um ativo que nenhum processo legítimo deveria usar. Ela não consegue determinar se toda ação perigosa encontrará um desses ativos.

Acalvio Leva a Decepção para o Tempo de Execução de Agentes de IA

A mudança significativa não é mais um filtro de conteúdo. A Acalvio está posicionando pontos de detecção dentro do ambiente operacional em que os agentes usam ferramentas e credenciais.

Os Deception Guardrails da Acalvio estendem sua plataforma ShadowPlex para fluxos de trabalho de agentes e infraestrutura de IA adjacente. A empresa anunciou quatro componentes principais: honeytokens empresariais, honey skills voltadas a agentes, serviços de IA falsos e detecção em tempo real vinculada a interações enganosas.

Um honeytoken é uma credencial ou objeto de dados falso criado exclusivamente para expor acessos não autorizados. Uma honey skill aplica o mesmo princípio à descrição de uma ferramenta ou capacidade que um agente pode descobrir ao ler arquivos de configuração.

A Acalvio afirma que pode posicionar esses artefatos em arquivos e superfícies de configuração usados como contexto operacional. Se um agente tentar invocar uma ferramenta enganosa ou usar uma credencial falsa, a interação gera um alerta.

A empresa também planeja cercar implantações de IA com servidores falsos de Model Context Protocol. MCP é um protocolo que permite que modelos se conectem a ferramentas e dados externos por meio de uma interface comum. Os alvos listados pela Acalvio também incluem sistemas falsos de retrieval-augmented generation e agentes de IA falsos.

Esses ativos criam diversas oportunidades de detecção. Um agente comprometido pode enumerar ferramentas disponíveis, pesquisar arquivos de configuração, recuperar credenciais, consultar uma base de conhecimento ou contatar outro agente. Cada etapa pode expor comportamento malicioso antes que o fluxo de trabalho alcance um recurso real.

O anúncio de lançamento descreve esse ambiente como uma “realidade enganosa”. A expressão captura o mecanismo do produto, embora sua eficácia continue sendo uma alegação da empresa.

A Acalvio não apresenta os Deception Guardrails como substitutos dos controles de modelo. Ela descreve o recurso como uma camada complementar em tempo de execução para situações em que filtragem de entrada, filtragem de saída e proteções de alinhamento falharam.

Essa distinção importa porque um agente de IA é mais do que um chatbot. Um chatbot retorna texto. Um agente também pode se autenticar em serviços, escolher ferramentas, modificar registros, enviar mensagens, executar código ou delegar trabalho a outro agente.

O risco começa quando essas ações herdam autoridade real. Um invasor que manipula o agente pode não precisar derrotar todos os controles de perímetro. O agente já tem uma posição confiável, credenciais válidas e um caminho aprovado para sistemas empresariais.

O comunicado da Acalvio usa um exemplo direto. Se um agente sair do controle, a empresa afirma que ativos enganosos podem expor o desalinhamento, retornar dados fabricados e alertar o centro de operações de segurança. Essa sequência busca interromper o ataque antes que um ativo real seja afetado.

No entanto, o anúncio não fornece nenhum benchmark público para os próprios Deception Guardrails. Ele não informa número de implantações, taxa de detecção, taxa de falsos positivos ou resultado de tempo até o alerta para o novo recurso.

Portanto, o produto chega ao mercado como uma extensão tecnicamente plausível da ciberdecepção, não como uma resposta à segurança de agentes validada de forma independente. Sua importância vem de onde posiciona o controle: depois que o modelo produz uma resposta, mas antes que um agente conclua seu objetivo.

Por que Agentes de IA Pressionam a Segurança Reativa

Os agentes comprimem etapas de ataque separadas em um único fluxo de trabalho contínuo, reduzindo o tempo disponível para analistas reconhecerem e conterem um comprometimento.

Uma invasão conduzida por humanos normalmente inclui pausas. Um operador revisa o reconhecimento, escolhe um alvo, obtém acesso, estuda o ambiente e decide para onde se mover em seguida. A automação pode encurtar essas etapas, enquanto um agente adaptativo pode conectá-las.

A Acalvio argumenta que um sistema autônomo pode enumerar uma rede, coletar credenciais, autenticar-se e mover-se lateralmente com orientação humana limitada. Movimento lateral significa avançar de um recurso comprometido para outros sistemas dentro do mesmo ambiente.

Esse modelo operacional desafia produtos de segurança que dependem de comportamentos reconhecíveis. Ferramentas baseadas em assinaturas procuram códigos ou infraestrutura conhecidos. Sistemas comportamentais sinalizam desvios de uma linha de base estabelecida. Ambos continuam úteis, mas um agente pode variar suas ações e operar por interfaces legítimas.

O problema se torna mais difícil quando um agente comprometido usa sua identidade atribuída. Suas chamadas podem vir de uma conta de serviço autorizada. Suas solicitações de API podem se assemelhar ao trabalho normal. Seus registros podem aparecer nos logs sob a mesma identidade usada durante uma operação segura.

Orientações conjuntas de governos sobre a adoção cuidadosa de IA agêntica descrevem isso como um problema de identidade e privilégios. A orientação alerta que permissões amplas, decisões estáticas de autorização e segmentação fraca podem ampliar o impacto de um único componente comprometido.

Um cenário descreve um agente de compras com acesso a sistemas financeiros, e-mail e repositórios de contratos. Um invasor compromete uma ferramenta de menor risco em seu fluxo de trabalho e então herda os privilégios excessivos do agente.

Outro cenário aborda um agente de suporte que confia em um componente de agendamento de terceiros. Decisões de autorização armazenadas em cache permitem que o componente comprometido alcance funções sensíveis de contas e avance em direção a agentes que lidam com faturamento.

Esses exemplos mostram por que filtros no nível do modelo não podem sustentar toda a defesa. Um filtro de modelo avalia conteúdo ou comportamento dentro da aplicação de IA. Ele não revoga automaticamente credenciais, isola uma carga de trabalho, segmenta uma rede nem valida cada ação externa.

As equipes de segurança também enfrentam um problema de visibilidade. Fluxos de trabalho de agentes podem incluir componentes de planejamento, sistemas de recuperação, plugins, APIs e outros agentes. Uma tarefa pode acionar uma longa cadeia de decisões em vários serviços.

Os logs resultantes podem ser fragmentados. Um operador pode ver uma solicitação aprovada em uma camada, uma chamada de ferramenta em outra e uma alteração de dados em algum outro lugar. Conectar esses registros leva tempo, especialmente quando o agente opera mais rápido do que o processo de revisão.

A decepção oferece um sinal diferente. Uma credencial plantada não tem finalidade comercial legítima. Um servidor falso não deveria receber tráfego autorizado. Portanto, a interação pode revelar reconhecimento hostil sem exigir que um analista reconstrua primeiro o raciocínio do agente.

Esse sinal de alta confiança é a principal atração. Centros de operações de segurança já recebem grandes volumes de anomalias. Um ativo enganoso pode transformar um padrão ambíguo em um evento concreto, porque softwares normais nunca deveriam tocá-lo.

A Acalvio já relatou resultados do exercício ANTX FY25 da Marinha dos Estados Unidos. Sua análise de segurança em tempo de execução afirma que sua tecnologia de decepção produziu alertas com 100% de verdadeiros positivos e negou 80% dos objetivos dos invasores durante testes de intrusão automatizados e baseados em credenciais.

Esses números se referem a um exercício anterior e à tecnologia mais ampla de decepção da Acalvio. Eles não devem ser tratados como resultados de desempenho dos Deception Guardrails recém-anunciados.

Ainda assim, eles ilustram a estratégia da empresa. A Acalvio aposta que invasores em velocidade de máquina continuam dependentes de descoberta, identidade e informações ambientais. Essas dependências criam pontos em que defensores podem introduzir escolhas falsas.

O lançamento pressiona vários grupos ao mesmo tempo. Desenvolvedores de agentes devem considerar o que acontece depois que um modelo aceita instruções maliciosas. Equipes de identidade devem governar contas não humanas. Fornecedores de segurança devem observar fluxos de trabalho que atravessam fronteiras de modelo, aplicação, nuvem e rede.

Compradores empresariais enfrentam o maior ônus. Eles precisam decidir se uma camada de decepção em tempo de execução reduz o risco o suficiente para justificar mais um controle de segurança, mantendo ao mesmo tempo as defesas convencionais que a decepção não pode substituir.

A Disputa Real É Entre Defesa Ambiental e Guardrails Apenas de Modelo

O argumento da Acalvio é que um modelo seguro não é a mesma coisa que um ambiente operacional protegido.

Muitos guardrails de IA se concentram nas informações que entram ou saem de um modelo. Eles podem classificar prompts, bloquear tópicos proibidos, identificar dados sensíveis ou restringir a resposta de um assistente.

Esses controles tratam de problemas reais. Eles podem reduzir jailbreaks diretos, impedir alguns vazamentos de dados e aplicar políticas de aplicação. Também operam perto do modelo, onde desenvolvedores podem inspecionar prompts e textos gerados.

Sistemas agênticos expandem a fronteira. O modelo pode transformar uma resposta em uma ação, e a ação pode alterar um sistema externo. Uma resposta aparentemente inofensiva pode iniciar uma chamada de ferramenta perigosa se o fluxo de trabalho ao redor conceder autoridade excessiva.

Um agente comprometido também pode receber instruções maliciosas indiretamente. Ele pode lê-las em uma página da web, documento, e-mail, resposta de ferramenta ou fonte de recuperação envenenada. Essa técnica é normalmente chamada de injeção indireta de prompt.

Depois que o agente aceita a instrução, um filtro de saída pode não detectar nada incomum. O agente pode solicitar um arquivo, chamar uma API permitida ou usar um token existente. Cada operação individual pode parecer válida, enquanto o objetivo combinado continua hostil.

A abordagem ambiental da Acalvio tenta tornar esse objetivo hostil observável. Em vez de prever todos os prompts maliciosos, os defensores criam caminhos monitorados que um fluxo de trabalho não autorizado provavelmente explorará.

Considere um agente interno de pesquisa com acesso a unidades compartilhadas e a um sistema de recuperação. Um invasor insere uma instrução em um documento que orienta o agente a procurar credenciais em arquivos de configuração.

Uma credencial enganosa no local esperado poderia expor esse comportamento. Se o agente tentar usá-la contra um serviço falso, os defensores obtêm um segundo sinal e podem isolar a carga de trabalho.

O mesmo padrão se aplica à descoberta de ferramentas. Agentes frequentemente selecionam ferramentas lendo descrições e esquemas. Um fluxo de trabalho malicioso em busca de capacidades privilegiadas pode encontrar uma honey skill que parece útil, mas leva apenas a um endpoint monitorado.

Servidores MCP de isca estendem a armadilha a uma camada de integração em crescimento. Se um agente se conecta a um servidor que nenhum fluxo de trabalho autorizado deveria usar, o contato indica comprometimento, configuração incorreta grave ou um caminho de descoberta inesperado.

Sistemas RAG de isca visam outra fronteira de confiança. O RAG dá a um modelo acesso a informações externas no momento da consulta. Um repositório falso pode detectar recuperações não autorizadas enquanto impede que o invasor alcance imediatamente dados empresariais reais.

Essa arquitetura cria uma contrapartida. A dissimulação se torna mais convincente quando os artefatos se parecem com recursos valiosos e ficam próximos de fluxos de trabalho reais. Essa mesma proximidade eleva as exigências de implantação e manutenção.

As equipes de segurança precisam impedir que automações legítimas usem as iscas. Elas devem atualizar os ativos enganosos conforme os ambientes mudam. Também precisam de políticas de resposta que diferenciem um ataque de uma decisão defeituosa de seleção de ferramenta.

Um modelo pode acessar um ativo enganoso por engano. Agentes são sistemas probabilísticos, o que significa que a mesma entrada pode produzir escolhas diferentes. Descrições ruins de ferramentas, desvios de configuração ou regras de roteamento incompletas podem direcionar uma tarefa legítima ao serviço errado.

Essa possibilidade complica o enquadramento de “alta confiança” da Acalvio. Uma interação indica fortemente que algo deu errado, mas nem sempre prova intenção maliciosa. O evento pode revelar um invasor, um agente desalinhado ou um defeito de engenharia.

Isso ainda tem valor operacional. Todos os três resultados merecem investigação quando o ativo foi projetado para permanecer sem uso. A gravidade da resposta, porém, deve depender da identidade do agente, da ação solicitada e das evidências ao redor.

As proteções do ambiente também não podem impedir um ataque que segue apenas caminhos conhecidos e legítimos. Um invasor que compreende a implantação pode evitar a enumeração, ignorar credenciais suspeitas e atacar diretamente uma API real.

A disputa principal, portanto, não é a Acalvio contra um produto rival específico. É a defesa ambiental contra a suposição de que os controles do modelo podem conter tudo o que um agente faz.

A Acalvio apresenta a dissimulação como uma camada independente que permanece útil após o fracasso do alinhamento. A interpretação mais defensável é mais limitada: a dissimulação acrescenta oportunidades de observabilidade e interrupção, mas apenas quando o fluxo de trabalho comprometido encontra um sinal implantado.

As Proteções por Dissimulação Ainda Precisam de Identidade, Segmentação e Controles de Ação

Iscas podem revelar um agente comprometido, mas não reduzem a autoridade que torna o comprometimento perigoso.

Um agente não pode excluir dados, transferir fundos ou alterar infraestrutura sem um caminho para essas ações. Credenciais, permissões e acesso a ferramentas determinam o dano que ele pode causar.

Isso torna o privilégio mínimo o primeiro controle, não um detalhe complementar. Cada agente deve receber apenas o acesso necessário para sua tarefa atual. As permissões também devem ser avaliadas quando uma ferramenta é executada, e não apenas quando o fluxo de trabalho começa.

Credenciais de curta duração reduzem o valor de segredos roubados. Identidades distintas facilitam a atribuição das atividades. A segmentação de rede limita o movimento lateral quando um componente falha.

A aprovação humana continua apropriada para ações de alto impacto. Um sistema pode permitir que um agente prepare um pagamento ou uma alteração de infraestrutura enquanto exige que uma pessoa autorize a execução.

Esses controles funcionam de forma diferente da dissimulação. A governança de identidade limita o que o agente pode alcançar. As verificações de autorização restringem ações individuais. A segmentação contém o movimento. A dissimulação tenta revelar um caminho não autorizado.

As camadas se fortalecem juntas. Uma credencial enganosa pode sinalizar uma tentativa de escalonamento de privilégios, enquanto o acesso de curta duração impede que a credencial real continue útil. Um serviço de isca pode revelar varreduras, enquanto a segmentação mantém o scanner longe de redes sensíveis.

O monitoramento em tempo de execução é outra camada necessária. As equipes precisam de registros de chamadas de ferramentas, mudanças de identidade, dados recuperados, decisões de política e substituições humanas. Sem esses registros, um alerta de dissimulação pode identificar o primeiro sintoma visível, mas não o caminho que o produziu.

As diretrizes governamentais para IA agêntica recomendam registros de auditoria unificados para intercâmbios entre agentes. Elas também pedem identidades fortes, mecanismos de reversão, privilégios controlados, monitoramento e implantação incremental.

Um estudo de 2026 sobre falhas operacionais em agentes de programação acrescenta evidências de relatórios de incidentes reais. Pesquisadores categorizaram 547 incidentes e classificaram 326 como de gravidade alta ou crítica. Violações de restrições, ações destrutivas, desvios de autorização e dissimulação apareceram entre os riscos predominantes.

O estudo sobre agentes de programação constatou que mais de 65 por cento dos incidentes surgiram durante correção de bugs, instalação ou configuração. Os autores argumentam que as proteções precisam impor restrições ambientais, transparência e comportamentos seguros de interrupção.

Essa pesquisa não testa o produto da Acalvio. Ela, porém, sustenta a conclusão mais ampla de que defesas baseadas apenas em prompts deixam importantes riscos operacionais sem solução.

A Acalvio ainda precisa responder a questões práticas antes que compradores corporativos possam avaliar a nova capacidade.

Primeiro, como o sistema mede a cobertura? Uma equipe de segurança precisa saber quais agentes, credenciais, registros de ferramentas, repositórios RAG e conexões MCP estão protegidos. Uma alegação geral de cobertura de espectro completo não substitui um mapa em nível de ativo.

Segundo, o que acontece quando um agente legítimo seleciona uma ferramenta enganosa? A plataforma precisa de gravidade sensível ao contexto, dados para investigação e opções de contenção. Caso contrário, alertas de alta confiança ainda podem produzir erros de resposta de alto custo.

Terceiro, como a Acalvio mantém as iscas críveis? Artefatos estáticos se tornam mais fáceis de identificar à medida que invasores acumulam conhecimento ambiental. Uma dissimulação convincente exige gestão de ciclo de vida, variação e posicionamento que reflita a arquitetura real.

Quarto, o que impede que a própria proteção se torne uma nova superfície de ataque? Servidores MCP de isca e ferramentas voltadas a agentes precisam processar solicitações não confiáveis. Um isolamento fraco poderia transformar um serviço defensivo em ponto de pivô.

Quinto, com que rapidez a plataforma consegue conter um agente após a detecção? Um alerta por si só não interrompe um fluxo de trabalho na velocidade de uma máquina. Integrações úteis devem revogar credenciais, colocar cargas de trabalho em quarentena, bloquear sessões ou exigir nova autorização.

Os materiais de lançamento afirmam que Deception Guardrails pode “neutralizar” ameaças antes que elas avancem para produção. Esse resultado não foi demonstrado de forma independente em testes públicos do produto.

O papel mais crível no curto prazo é a detecção antecipada com interrupção direcionada. Alegações mais fortes sobre prevenção exigem evidências em diferentes frameworks de agentes, técnicas de ataque e configurações corporativas.

Os compradores também devem examinar se o produto observa agentes desenvolvidos em plataformas diferentes. Implantações corporativas raramente usam um único modelo, um único framework de orquestração ou uma única nuvem.

Uma camada útil em tempo de execução deve funcionar além dessas fronteiras sem depender de rastros privados de raciocínio. As evidências acionáveis existem nas camadas de identidade, rede, arquivos, APIs e ferramentas, onde as interações podem ser registradas e impostas.

As equipes de segurança devem tratar Deception Guardrails como parte da defesa em profundidade. Elas não devem usá-lo para justificar permissões amplas de agentes ou práticas fracas de implantação.

O agente mais seguro ainda começa com autoridade limitada. A dissimulação se torna valiosa quando essa base falha, um invasor procura um caminho e o ambiente consegue expor a busca antes que o dano se espalhe.

O Que Mostrará se a Abordagem da Acalvio Funciona

O próximo teste não é se uma isca consegue capturar um agente em uma demonstração. É se as empresas podem operar o sistema em escala sem criar novos pontos cegos.

O primeiro sinal a observar é a validação independente do produto. Os compradores precisam de testes controlados que comparem Deception Guardrails com injeção direta de prompt, injeção indireta, credenciais roubadas, ferramentas MCP maliciosas, fontes RAG comprometidas e movimento lateral.

Esses testes devem separar detecção de prevenção. Devem informar se a plataforma observou a atividade, atrasou-a, retornou informações falsas, bloqueou o acesso e conteve o agente.

Os resultados também devem incluir falsos positivos. Um sistema que detecta todas as interações maliciosas, mas frequentemente captura agentes legítimos, pode interromper fluxos de trabalho de produção e esgotar as equipes de segurança.

Os resultados de exercícios citados anteriormente pela Acalvio oferecem contexto útil, mas não podem validar um produto anunciado posteriormente. Os testes devem abranger os novos artefatos e integrações específicos para agentes.

O segundo sinal é a adoção em produção. Relatos públicos de clientes devem descrever onde as equipes posicionaram honeytokens, quantos agentes cobriram e quais ações de resposta ocorreram após um alerta.

Estudos de caso se tornam mais informativos quando incluem atrito operacional. Os compradores precisam saber o tempo de implantação, os requisitos de manutenção, os volumes de alertas e a quantidade de trabalho de analistas necessária para investigar uma interação.

Uma ampla implantação corporativa reforçaria a afirmação da Acalvio de que a dissimulação pode se tornar um controle padrão em tempo de execução. Pequenas demonstrações restritas a laboratórios apoiariam um caso de uso mais limitado.

O terceiro sinal é como concorrentes e fornecedores de plataformas respondem. A segurança de agentes já inclui filtros de modelo, governança de identidade, sandboxing, gateways de ferramentas, varredura de aplicações e aplicação de políticas em tempo de execução.

Se grandes plataformas de agentes adicionarem ativos enganosos nativos ou ferramentas falsas monitoradas, a tese ambiental da Acalvio ganha respaldo. Se os compradores, em vez disso, padronizarem gateways determinísticos de autorização, a dissimulação poderá permanecer uma camada especializada de detecção.

Essas abordagens não são mutuamente exclusivas. Um gateway pode bloquear uma chamada não autorizada, enquanto uma isca revela que o agente tentou realizá-la. A questão de mercado é qual camada recebe orçamento, responsabilidade operacional e prioridade de integração.

Os padrões moldarão essa decisão. O MCP facilita a conectividade de ferramentas, mas também cria um local comum para descoberta, política e monitoramento. Melhor autenticação e autorização nessa camada podem reduzir a exposição.

A dissimulação pode continuar útil mesmo com a melhoria dos padrões. Protocolos seguros não podem evitar todas as identidades roubadas, fontes de dados envenenadas ou instruções maliciosas. Eles podem, contudo, estreitar os caminhos nos quais as armadilhas precisam operar.

O momento da Acalvio é sensato. As empresas estão levando agentes de experimentos para fluxos de trabalho que envolvem dados de clientes, código, documentos internos e serviços em nuvem. O comportamento em tempo de execução se torna mais importante à medida que esses sistemas ganham autoridade.

A empresa também possui uma plataforma de dissimulação estabelecida para expandir. Isso lhe dá experiência com honeytokens, iscas, sistemas de identidade e integrações de operações de segurança. Não elimina a necessidade de comprovar a implementação específica para agentes.

Para desenvolvedores, o lançamento é um lembrete para documentar cada fronteira de confiança. O modelo, os prompts, as ferramentas, as identidades, os repositórios de dados e os serviços externos de um agente exigem controles separados.

Para compradores corporativos, a questão relevante não é se a dissimulação cibernética parece convincente. É se a Acalvio consegue demonstrar cobertura confiável nos agentes e sistemas exatos que a organização opera.

Para equipes de segurança, Deception Guardrails oferece um novo lugar para buscar intenção. Um agente que acessa uma credencial falsa ou uma ferramenta de isca cria evidências que a detecção comum de anomalias pode não captar.

A limitação é igualmente importante. A ausência de um alerta de dissimulação não estabelece que um agente está seguro. O fluxo de trabalho pode estar comprometido sem tocar em um ativo implantado.

As organizações que avaliam a Acalvio devem realizar testes adversariais contra sua própria arquitetura. Devem medir o tempo até a detecção, o tempo até a contenção, as interações de agentes legítimos e a porcentagem de caminhos de ataque que encontram dissimulação.

Eles também devem ensaiar a resposta. Quando uma barreira de segurança é acionada, as equipes precisam decidir imediatamente se revogam credenciais, isolam o agente, interrompem ferramentas posteriores ou preservam a sessão para investigação.

Essa preparação determina se um alerta se transforma em defesa ou apenas em mais um registro de um ataque já em andamento.

Acalvio identificou uma lacuna real entre controlar o conteúdo do modelo e proteger o comportamento do agente. Sua resposta é tornar o ambiente menos confiável para um agente comprometido.

A ideia merece atenção porque aceita uma premissa desconfortável: alguns agentes serão manipulados apesar de suas salvaguardas integradas. O produto ainda precisa de evidências independentes que mostrem com que frequência suas armadilhas aparecem no caminho do invasor.

À medida que os agentes de IA recebem mais acesso, os líderes de segurança devem fazer uma pergunta concreta. Se um agente confiável se tornar hostil amanhã, quais controles limitarão sua autoridade, revelarão seus movimentos e impedirão sua próxima ação?