Checklist de auditoria de segurança para Agent de IA

Teste aplicação e Agent juntos: identidade, autenticação, autorização, isolamento, dados, tools MCP/API, memória, ficheiros, pagamentos, segredos, logs, limites, aprovações e recuperação.

Antes da fase ativa, acorde por escrito scope, contas de teste, métodos, horário, condições de paragem, gestão de provas e aprovação do proprietário.

O resultado é uma fotografia datada do risco, não um certificado absoluto. Corrija por impacto e repita após mudanças importantes em acesso, tools, memória, pagamentos, modelos ou infraestrutura.

Ruslan Siniaiev fez a primeira revisão: oito vulnerabilidades foram documentadas, incluindo uma crítica com impacto direto no negócio. O link deste Artigo abre o LinkedIn dele.

Cada fase gerou um PDF com provas e reprodução. Publicamos método e aprendizagem, não endpoints, cadeia de ataque, credenciais ou detalhes da correção.

A IA acelera o desenvolvimento, mas código plausível ainda esconde falhas de autorização e lógica. Revisão independente, correção e reteste continuam humanos.

O Prostir permite criar, monetizar e publicar Agents próprios sem programar todo o backend SaaS. Isso encurta o caminho, mas não elimina a revisão de acesso, tools, dados, pagamentos e lógica.

Agents novos são privados por defeito, com OAuth primeiro, alternativas scoped explícitas, proprietário exato e tools limitadas. Estes controlos precisam de ser testados.

A primeira auditoria externa tornou riscos concretos visíveis antes de uma abertura maior. A próxima prova é a correção seguida de reteste independente.