Estudo mostra que agentes de IA vazam credenciais ao serem atacados por phishing
Pesquisadores propuseram o CredLeakBench, um benchmark que mede se agentes baseados em LLM — usados para automatizar tarefas como e-mail, redes sociais e operações bancárias — entregam credenciais e dados sensíveis quando confrontados com phishing, inclusive quando monitoram a caixa de entrada de forma autônoma sem que o usuário tenha pedido login. O resultado: todos os modelos testados vazaram informação em algum grau, e as mitigações que reduzem o vazamento também prejudicam a capacidade do agente de cumprir tarefas legítimas.
Conforme agentes de IA passam a operar e-mail, redes sociais e até contas bancárias em nome do usuário com pouca supervisão, eles se tornam um novo alvo para phishing — só que, em vez de enganar uma pessoa, o golpe precisa enganar o agente automatizado. O CredLeakBench foi criado justamente para medir essa superfície de risco de forma sistemática, comparando como os agentes se comportam diante de solicitações de autenticação genuínas versus maliciosas, variando sinais de engano (deceptive cues) e cobrindo dois cenários: quando o usuário pede explicitamente para o agente fazer login em algum serviço, e quando o agente monitora a caixa de entrada de forma autônoma e decide sozinho se deve agir sobre um e-mail.
O diferencial metodológico do benchmark é medir vazamento por meio de submissões reais de dados dentro de um ambiente controlado (sandbox), em vez de confiar no relato do próprio agente sobre o que fez — eliminando a possibilidade de um agente "dizer" que recusou uma ação arriscada enquanto, na prática, a executa. Isso é relevante porque mostra uma falha mais profunda: o problema não é só o agente decidir errado quando perguntado, mas agir sozinho de forma arriscada sem que ninguém tenha perguntado nada — ou seja, o phishing pode induzir vazamento mesmo sem que o usuário tenha solicitado qualquer autenticação.
Os resultados são preocupantes para quem já confia tarefas sensíveis a esses agentes: todos os modelos avaliados vazaram credenciais ou dados sensíveis em pelo menos parte dos cenários de phishing testados. Mais importante ainda, os autores identificam um trade-off de segurança-utilidade: as defesas que reduzem o vazamento (por exemplo, tornar o agente mais cauteloso ou mais propenso a recusar) também reduzem seu desempenho em tarefas legítimas, o que sugere que simplesmente travar o agente não é uma solução viável em produto real.
Para quem desenvolve ou implanta agentes de IA com acesso a contas financeiras, de e-mail ou redes sociais, a lição prática é que filtros de phishing tradicionais (feitos para humanos) não bastam — é preciso testar explicitamente a resistência do agente a pretextos de phishing antes de liberar autonomia de login ou de leitura de caixa de entrada sem supervisão. Equipes antifraude devem tratar agentes autônomos como um novo vetor de account takeover: exigir confirmação humana explícita para qualquer ação de autenticação disparada por conteúdo de terceiros (e-mails, páginas web) e monitorar continuamente o comportamento do agente em produção, já que o benchmark mostra que mitigações estáticas tendem a sacrificar utilidade sem eliminar o risco.