Os custos cloud com agentes IA podem explodir em horas. Uma agência de três pessoas recebeu uma factura de 14 mil euros da AWS num único dia, depois de atacantes extraírem chaves de acesso e usarem o Claude no Bedrock. E os sistemas de alerta tradicionais não conseguem travar este tipo de despesa.
O que são agentes de IA com credenciais cloud e como funcionam
Um agente de IA é um software que toma decisões e executa acções de forma autónoma. Quando lhe damos acesso a serviços cloud — como APIs de inteligência artificial ou capacidade de criar servidores — ele pode fazer em minutos o que um humano faria em dias. O problema é que também pode gastar dinheiro à mesma velocidade.
Custos cloud com agentes IA: um risco real
No caso relatado pela InfoQ, os atacantes obtiveram chaves de acesso estáticas de uma conta AWS. Com essas chaves, conseguiram fazer chamadas ilimitadas ao Claude, um modelo de IA da Anthropic disponível no Amazon Bedrock. Cada invocação tem um custo, e em poucas horas a factura acumulou 14 mil euros. Não foi um erro de configuração: foi um ataque deliberado que explorou a velocidade dos agentes.
Mas não são só os ataques. Em Maio, um incidente conhecido como DN42 mostrou que um agente autónomo pode provisionar infraestrutura desnecessária. Em 24 horas, o agente criou recursos que custaram 6.531 euros, simplesmente porque não tinha limites bem definidos. A facturação da cloud, que actualiza uma vez por dia, não conseguiu travar o gasto a tempo.
O que diferencia este risco das ameaças tradicionais
Até agora, o maior risco de custos cloud inesperados vinha de erros humanos: uma instância esquecida a correr, um serviço de base de dados mal dimensionado. Mas esses erros são lentos. Um colaborador pode deixar um servidor ligado durante o fim-de-semana e gerar uma factura de algumas centenas de euros. Com agentes de IA, o gasto é exponencial e imediato.
Os sistemas de alerta de orçamento da maioria dos fornecedores cloud funcionam com atrasos de várias horas ou até um dia. Quando o alerta chega, o agente já gastou milhares de euros. Além disso, muitos destes agentes usam APIs de IA que têm custos por utilização — cada pedido ao Claude ou a outro modelo custa dinheiro. Um atacante pode fazer milhares de pedidos por minuto.
O que isto significa para PMEs portuguesas
Para uma PME portuguesa com orçamentos apertados, uma factura de 14 mil euros pode ser devastadora. Muitas empresas usam a cloud para alojar sites, gerir email ou fazer backups, e podem ter contas AWS, Google Cloud ou Azure sem saberem que estão expostas a este risco. Se as chaves de acesso não estiverem bem protegidas, um atacante pode usar esses serviços de IA e gerar custos cloud com agentes IA em horas.
Mesmo sem um ataque, se a sua empresa começar a experimentar agentes de IA para automatizar tarefas, é fácil perder o controlo dos custos. Um projecto de inteligência artificial bem estruturado deve incluir limites de gastos e monitorização em tempo real. Caso contrário, o ROI desaparece na primeira factura inesperada.
O erro que a maioria comete
A maioria das empresas assume que os alertas de orçamento da cloud são suficientes. Definem um limite mensal de 500 euros e confiam que vão receber um email quando o gasto se aproximar. Mas com agentes de IA, o gasto pode ultrapassar esse limite em minutos, e o alerta só chega no dia seguinte. Outro erro comum é usar chaves de acesso estáticas e partilhá-las entre equipas sem rotação regular, o que facilita a vida a atacantes.
Riscos e limitações
Este risco não afecta todas as empresas da mesma forma. Se a sua PME não utiliza serviços de IA na cloud nem tem agentes autónomos, a probabilidade de sofrer um ataque destes é baixa. No entanto, basta ter uma conta AWS ou similar para estar exposto, porque os atacantes podem usar os seus recursos para minerar criptomoedas ou lançar ataques. As ferramentas de prevenção ainda são limitadas: os fornecedores cloud estão a trabalhar em facturação em tempo real, mas a maioria ainda não a oferece. Para já, a melhor defesa é uma política rigorosa de gestão de acessos, como explicamos no nosso guia de cibersegurança para negócios digitais.
Veredito Descomplicar®
Os agentes de IA são uma ferramenta poderosa, mas os custos cloud com agentes IA ainda não têm os travões necessários para uso descuidado. Para a maioria das PMEs portuguesas, o risco imediato é baixo, mas a tendência é clara: à medida que a automação avança, o controlo de custos tem de evoluir ao mesmo ritmo. Se está a dar os primeiros passos na IA, vale a pena investir desde já em políticas de acesso e monitorização. Não se trata de evitar a tecnologia, mas de a usar com a mesma disciplina financeira que aplica ao resto do negócio.