Pentest de IA é o teste de invasão de sistemas baseados em modelos de linguagem — chatbots, agentes autônomos e pipelines RAG. Ele simula ataques reais para encontrar falhas como prompt injection, vazamento de dados e abuso de ferramentas antes que um adversário o faça, com evidência reproduzível e severidade classificada por impacto ao negócio.
O termo pega emprestado o rótulo do teste de invasão tradicional, mas a prática é diferente em quase tudo o que importa. Um pentest de aplicação web assume uma fronteira nítida entre código e dados; um pentest de IA parte da premissa oposta. Este guia explica o que essa mudança significa na prática, como o exercício é conduzido, quais sistemas precisam dele e onde as categorias do OWASP LLM Top 10 2025 entram.
O que é pentest de IA, exatamente?
Pentest de IA é a avaliação ofensiva de um sistema que usa um modelo de linguagem para tomar decisões, gerar texto ou acionar ações. O objetivo não é medir a qualidade das respostas do modelo, e sim demonstrar como um atacante manipula o sistema ao redor dele — a interface, as ferramentas conectadas, as fontes de dados e as permissões da sessão.
A diferença de fundo está na fronteira entre código e dados. Em software tradicional, um binário executa instruções e um arquivo de configuração fornece parâmetros; a exploração acontece quando o atacante consegue mover dados para o lado do código. Em um LLM, essa separação não existe. O system prompt, o input do usuário, o documento recuperado de um vector store e a saída de uma ferramenta chegam ao modelo pelo mesmo canal: texto. O modelo não tem mecanismo estrutural para distinguir a instrução legítima do operador de uma instrução plantada dentro de um PDF que o pipeline acabou de indexar.
A consequência prática é direta: todo dado que entra no contexto é potencialmente executável. Um pentest de IA testa exatamente essa realidade, em vez de fingir que ela não existe.
Como funciona um pentest de IA?
Um pentest de IA segue fases que vão do mapeamento da superfície à demonstração de impacto. Cada fase produz evidência reproduzível, não apenas uma resposta indesejada do modelo. As etapas que aplicamos, em ordem:
- Mapeamento da superfície. Documentar endpoints, autenticação, limites de taxa, o system prompt completo, cada ferramenta que o modelo pode invocar, o pipeline RAG e o fluxo de dados — o que entra no contexto, o que sai, o que é persistido. Sem esse mapa, o teste vira tentativa e erro contra uma caixa preta.
- Acesso inicial. Provar que uma instrução do atacante chega ao modelo — por prompt injection direto (o usuário é o atacante) ou indireto (a instrução chega dentro de um documento, e-mail, ticket ou página que o sistema consome).
- Escalação de privilégios. Contornar guardrails, extrair o system prompt e desbloquear chamadas de ferramenta que deveriam estar restritas ao operador.
- Reconhecimento. Enumerar capacidades reais: quais ferramentas o agente invoca, quais fontes de dados alcança, quais credenciais estão no escopo da sessão.
- Persistência. Verificar se existe algum local gravável que o modelo relê depois — memória de longo prazo, documentos no vector store, regras de projeto — e usá-lo para sobreviver ao fim da sessão.
- Ação sobre o objetivo. Demonstrar o impacto concreto: exfiltração de dados, ação de escrita não autorizada, movimento lateral para o ambiente tradicional ou fraude.
- Relato. Entregar um caminho de ataque com evidência em cada etapa, severidade por impacto ao negócio e uma ordem de correção justificada.
O que separa um pentest sério de uma bateria de prompts adversariais é onde ele para. Rodar cinquenta jailbreaks e reportar que "o modelo é vulnerável a prompt injection" mede apenas a fase 2. O valor está em mostrar o que um adversário faria depois.
Quais sistemas de IA precisam de pentest?
Precisa de pentest de IA todo sistema em que um modelo de linguagem influencia dados sensíveis, aciona ferramentas ou toma decisões que afetam usuários. Na prática, três arquiteturas concentram o risco:
- Chatbots e assistentes. Interfaces conversacionais expostas a clientes ou funcionários. O risco cresce com o acesso: um chatbot que apenas responde perguntas é uma superfície pequena; um que consulta dados de conta, abre chamados ou processa pagamentos é outra coisa. Aqui testamos vazamento entre usuários, extração de system prompt e ações disparadas por texto.
- Agentes autônomos. Sistemas que planejam e executam tarefas com múltiplas chamadas de ferramenta, muitas vezes sem revisão humana a cada passo. São a arquitetura de maior severidade, porque a autonomia multiplica o impacto de qualquer injection. Em pipelines multi-agente, um agente confia na saída de outro pelo mesmo motivo que confia no input do usuário — é tudo texto.
- Pipelines RAG. Sistemas que recuperam documentos de um vector store e os injetam no contexto. O ponto crítico raramente é o modelo; é quem pode escrever no índice. Se um ticket de suporte enviado por um cliente acaba indexado, o controle de acesso de escrita ao vector store passa a ser um controle de segurança de primeira ordem.
A pergunta que define o escopo não é "usamos IA?", e sim "o que esse sistema alcança quando alguém o convence a agir?".
Quais categorias o OWASP LLM Top 10 2025 cobre?
O OWASP LLM Top 10 (revisão 2025) organiza os riscos mais relevantes de aplicações com LLM em dez categorias. Elas servem como espinha dorsal de escopo de um pentest de IA:
- LLM01 — Prompt Injection. Entradas manipuladas que alteram o comportamento do modelo ou disparam ações não intencionadas; inclui o vetor indireto, o mais explorado em incidentes reais.
- LLM02 — Sensitive Information Disclosure. Exposição de PII, segredos ou dados de outros usuários via respostas ou canais laterais.
- LLM03 — Supply Chain. Modelos, datasets, plugins e extensões de terceiros que carregam vulnerabilidades ou comprometimento de proveniência.
- LLM04 — Data and Model Poisoning. Manipulação de dados de treino, fine-tuning ou embeddings para introduzir vieses ou backdoors.
- LLM05 — Improper Output Handling. Saída do modelo consumida a jusante sem validação, virando XSS, SSRF, injeção de comando ou de SQL — a categoria que converte um problema de IA em RCE.
- LLM06 — Excessive Agency. Permissões ou autonomia além do necessário, exploráveis para ações arbitrárias; o multiplicador de severidade de todas as outras.
- LLM07 — System Prompt Leakage. Vazamento do system prompt, que descreve ferramentas, limites de autorização e a estrutura dos dados acessíveis — o mapa da rede em linguagem natural.
- LLM08 — Vector and Embedding Weaknesses. Falhas em como embeddings são gerados, armazenados e recuperados, incluindo controle de acesso na recuperação e vazamento entre tenants.
- LLM09 — Misinformation. Saídas incorretas ou fabricadas tratadas como confiáveis pelos sistemas ou usuários a jusante.
- LLM10 — Unbounded Consumption. Operações que degradam desempenho, inflam custo ou derrubam o serviço — em arquiteturas com agentes, um único input pode disparar uma cascata de chamadas pagas.
Cobrir as dez categorias não significa ler as dez descrições. Significa ter, para cada uma, um alvo concreto no sistema e evidência de exploração ou de sua ausência.
Pentest de IA e pentest tradicional: qual a diferença?
Pentest de IA e pentest tradicional compartilham o objetivo — encontrar falhas antes do atacante — mas divergem em premissa, vetor e evidência. A tabela abaixo resume onde os dois se separam:
| Dimensão | Pentest tradicional | Pentest de IA |
|---|---|---|
| Fronteira código/dados | Bem definida | Inexistente — tudo é texto no mesmo canal |
| Vetor principal | Injeção via parâmetros e protocolos | Prompt injection direto e indireto |
| Superfície de persistência | Arquivos, bancos, contas | Memória do agente, embeddings, contexto |
| Determinismo | Alto — mesmo input, mesmo output | Baixo — respostas probabilísticas |
| Evidência que vale | Payload que produz resposta do sistema | Payload que faz o modelo executar uma ação |
| Escopo de dados | Definido por permissões explícitas | Ampliado pelo que o modelo alcança na sessão |
A implicação para quem contrata é que um pentest de IA não substitui o pentest tradicional — ele o complementa. O sistema de IA quase sempre vive dentro de uma aplicação, uma rede e uma nuvem que também precisam ser testadas. Um caminho de ataque completo costuma começar em linguagem natural e terminar em uma vulnerabilidade convencional.
Quando fazer um pentest de IA?
O melhor momento é antes de o sistema alcançar dados ou ações sensíveis em produção, e depois de forma recorrente conforme a superfície muda. Gatilhos concretos que justificam um teste:
- Antes do go-live de qualquer sistema de IA que consulte dados reais, acione ferramentas ou fale com clientes.
- A cada mudança de agência — quando o assistente ganha uma nova ferramenta, acesso de escrita ou uma integração com credencial de serviço.
- Ao conectar um novo pipeline RAG ou abrir o vector store para conteúdo enviado por terceiros.
- Em ciclos de compliance, quando a governança de IA passa a ser exigida por regulação setorial ou por normas como a ISO/IEC 42001.
Segurança de IA não é um teste único no lançamento. A superfície é viva: cada ferramenta nova, cada fonte de dados adicionada e cada mudança de permissão reabre o escopo.
Como a Berghem executa
A Berghem conduz o pentest de IA como um exercício ofensivo estruturado, não como uma bateria de prompts. Partimos do mapeamento da superfície, aplicamos as fases de acesso inicial a ação sobre o objetivo e entregamos um caminho de ataque com evidência reproduzível em cada etapa, severidade por impacto ao negócio e ordem de correção priorizada por retorno.
O escopo é calibrado ao sistema: chatbot, agente autônomo ou pipeline RAG recebem alvos e vetores distintos, sempre ancorados nas categorias do OWASP LLM Top 10 2025. Para ver a metodologia completa, escopo e formato de entrega, conheça o nosso serviço de pentest de sistemas de IA e LLM. Quando o risco se concentra em agentes com autonomia elevada, o trabalho se estende à segurança de agentes de IA e, no plano de governança, à certificação ISO/IEC 42001.
A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.
Perguntas frequentes
Pentest de IA é o mesmo que Red Team para IA?
Não. O pentest de IA avalia um sistema definido em escopo e prazo, cobrindo suas categorias de risco de forma sistemática. O Red Team simula um adversário com objetivo específico, sem escopo fechado, para testar detecção e resposta. Os dois se complementam: o pentest mapeia falhas, o Red Team mede a capacidade de reagir a elas.
Quanto tempo leva um pentest de IA?
Depende da superfície: número de ferramentas conectadas, fontes de dados, integrações e nível de autonomia do sistema. Um chatbot com escopo restrito exige muito menos esforço que um agente autônomo com acesso de escrita a múltiplos sistemas. O prazo é definido após o mapeamento inicial, quando a superfície real fica visível — e não por um número fixo antecipado.
Pentest de IA substitui o pentest tradicional?
Não. Os dois são complementares. O sistema de IA vive dentro de uma aplicação, uma rede e uma nuvem que também precisam ser testadas, e um caminho de ataque completo frequentemente começa em prompt injection e termina em uma vulnerabilidade convencional. O ideal é combinar o pentest de IA com testes de aplicação, API e cloud.
A Berghem é uma empresa de segurança em IA que atende o Brasil e a América Latina.