Uma análise da Kodem sobre cerca de mil hosts de inferência auto-hospedados em 11 plataformas, entre elas Ollama, vLLM e LocalAI, encontrou instâncias abertamente acessíveis em todas elas, algumas sob exploração automatizada.
O levantamento sustenta a tese de Aviv Mussinger, CEO e cofundador da empresa, em artigo publicado no Forbes Technology Council: a segurança de IA falha porque mede intenção documentada, não o que de fato executa em produção.
A pergunta feita a qualquer equipe de segurança, segundo Mussinger, costuma ter duas respostas: uma lista de fornecedores aprovados ou uma planilha de questionário. Ambas descrevem intenção. Nenhuma descreve o que está rodando. É nessa lacuna que vivem os incidentes.
Por que a documentação não descreve o sistema real
Sistemas agênticos se montam em tempo de execução. Um orquestrador cria subagentes, um registro de ferramentas se expande quando um servidor de Model Context Protocol se conecta, e o diagrama de arquitetura só estava correto no dia em que foi desenhado. Conselhos, auditores e questionários de clientes pedem prestação de contas sobre exposição a IA, e a maioria das equipes responde a partir de documentação.
Mas ferramentas existentes já não cobrem tudo? Cada categoria deixa escapar a camada onde o risco mora, argumenta o texto. Varredura de dependências e AI bill of materials operam sobre pacotes: dizem que um framework está instalado, não se um agente existe, quais ferramentas ele invoca ou a qual modelo se vincula.
# publicidade
Inspeção de rede e gateways veem tráfego, mas não enxergam delegação entre agentes dentro de um processo nem leituras de arquivo que alimentam o contexto do modelo. Revisão de código e questionários capturam intenção, em um único momento, para sistemas que não são estáticos.
O que a kodem encontrou em hosts de inferência auto-hospedados
Modelos locais nunca tocam a rede controlada. Um desenvolvedor baixa pesos abertos de um hub público, quantiza e serve inferência dentro da aplicação: não há chamada de API para inspecionar, nenhum token passa pelo proxy, e para todo controle baseado em rede aquele modelo simplesmente não existe.
A exposição não é teórica. A pesquisa da Kodem varreu aproximadamente mil hosts de inferência em 11 plataformas e achou instâncias abertamente alcançáveis em todas, algumas já sob exploração automatizada. Esses hosts servem modelos, e um controle que vigia chamadas a provedores de nuvem não vê nada disso. No Brasil, onde times adotam Ollama e vLLM para reduzir custo de API e manter dados em ambiente próprio, o cenário descrito é diretamente aplicável: qualquer porta de inferência esquecida vira ponto de entrada invisível ao SOC.
A empresa também publicou uma análise dos cinco frameworks de IA open source mais estrelados, classificando o risco não pela contagem de vulnerabilidades, mas por saber se a função vulnerável está em um caminho que a aplicação realmente executa.
Atenção: se sua equipe roda Ollama ou vLLM em produção, verifique hoje se a porta de inferência está exposta. A pesquisa da Kodem encontrou instâncias abertas em todas as 11 plataformas examinadas.
Guardrails, proveniência e identidade no runtime
Um filtro de segurança habilitado no console de um fornecedor é uma declaração sobre o sistema. O mesmo filtro presente no processo, com categoria, limiar, ação e direção que protege, é uma observação. Lendo guardrails como carregados, e não declarados, a saída mais valiosa costuma ser negativa: os agentes que não têm nenhum. O mesmo vale para capacidade dormente, um agente que existe no processo sem nunca executar suas ferramentas, exatamente aquilo que um atacante procura.
E a identidade? A maioria dos pontos de enforcemente vê uma carga de trabalho com uma única identidade, mesmo quando vários tomadores de decisão vivem dentro dela: orquestrador, subagentes, código determinístico. Reconstruindo a hierarquia de agentes a partir do processo em execução, dá para permitir que o agente de reembolso emita um reembolso após aprovação e negar ao agente de sumarização a chamada idêntica.
Nada disso exige instrumentar a aplicação ou passar o tráfego por proxy: exige ler o que está carregado no processo, mapear quais dados alcançam o modelo e por onde podem sair, ancorando o resultado em um padrão como o OWASP Top 10 para LLM Applications.
Info: o OWASP Top 10 para LLM Applications nomeia os riscos, mas não diz quais estão ativos no seu ambiente. A proposta é usar o padrão como âncora para evidências observadas no processo.
Mapear caminhos alcançáveis não é o mesmo que registrar tráfego, ressalva o texto. Mostrar que conteúdo não confiável pode alcançar um modelo descreve um caminho existente, não prova que alguém viu dados trafegarem por ele. O valor está em ver a exposição antes que ela dispare, com controles direcionados, validados antes da aplicação, reversíveis e sujeitos à aprovação do operador. Qualquer fornecedor que prometa prevenção completa nessa camada, afirma Mussinger, está descrevendo um desejo.
O que isso muda para times de segurança no brasil
Na avaliação do Mercado de TI, o argumento se conecta a uma linha que o portal já acompanha: a governança de IA está migrando do documento para o runtime, como mostram iniciativas de governança de IA no runtime pela Microsoft e o debate sobre guardrails lentos diante de agentes de IA. A diferença aqui é a ênfase na observação do processo, sem proxy e sem instrumentação.
Para equipes brasileiras, a recomendação prática é objetiva: inventarie hosts de inferência locais, valide quais guardrails estão carregados em cada processo e trate pesos abertos como supply chain, com origem, licença e digest verificados. Foi o que a Kodem fez ao comparar os modelos efetivamente vinculados em produção contra a lista aprovada pela organização, usando formato, contagem de parâmetros, quantização e licença do arquivo carregado em memória. Vale notar o interesse declarado: a Kodem vende exatamente a tecnologia de segurança baseada em runtime que o artigo defende.
A segurança passou a última década aprendendo que documentação e realidade de execução divergem, e que é nessa brecha que os incidentes moram. Sistemas de IA ampliam a distância porque se automontam em runtime. Um guardrail que você não pode verificar é uma declaração; um guardrail apoiado em evidência de runtime é um controle.
O próximo passo para quem opera agentes em produção é abrir uma carga de trabalho real e responder, sem planilha: quais agentes existem, quais modelos e ferramentas eles alcançam e quais proteções estão de fato em vigor, tema que se conecta às discussões sobre ataques de supply chain e ao papel da identidade em sistemas autônomos.
Fonte: Forbes Technology Council
