AIR capta US$ 50 milhões — o novo firewall vigia plugins de agentes
Em 1º de setembro de 2026, a AIR Security saiu do sigilo com US$ 50 milhões captados em duas rodadas seed: US$ 10 milhões em uma rodada liderada pela Sequoia e US$ 40 milhões em outra liderada pela Greenoaks. A startup apresentou uma plataforma para descobrir agentes de inteligência artificial, avaliar os complementos que eles utilizam e bloquear interações consideradas inseguras.
Na apresentação oficial do produto, a AIR define sua tecnologia como um firewall que filtra entradas não confiáveis antes que elas cheguem ao contexto do agente. O alvo inclui complementos, sites e dados internos capazes de fornecer instruções ou influenciar uma decisão, e não somente a conexão de rede ou a identidade de quem iniciou a tarefa.
Os complementos formam uma cadeia de dependências
A tese central da AIR é que skills, plugins, servidores MCP e outros complementos estão formando uma cadeia de suprimentos própria ao redor dos agentes empresariais. Skills podem fornecer instruções reutilizáveis, enquanto plugins e servidores MCP conectam o agente a ferramentas, fontes de dados e ações externas.
Essa composição altera a unidade que precisa ser fiscalizada. Aprovar o aplicativo principal não revela necessariamente quais instruções serão carregadas mais tarde, quais serviços externos serão consultados ou quais permissões um complemento poderá acionar durante a execução.
A plataforma propõe separar quatro funções. A descoberta localiza agentes autorizados ou desconhecidos no ambiente; o inventário associa cada agente às suas dependências; a avaliação examina o complemento; e o controle permite autorizar, bloquear ou retirar a autorização.
Essas funções não são equivalentes. Um agente pode constar no inventário sem que todos os seus complementos tenham sido avaliados, assim como um componente aprovado em determinado momento pode mudar posteriormente. A promessa do produto é preservar a relação entre agente, dependência e decisão de confiança, em vez de tratar cada item isoladamente.
A avaliação continua depois da implantação
O principal diferencial reivindicado pela AIR é a reavaliação contínua, e não apenas uma verificação antes da instalação. Um complemento inicialmente aceito pode receber uma atualização, passar a buscar instruções em outra fonte ou ser afetado pelo comprometimento de uma conta ou dependência.
Segundo a descrição técnica da SecurityWeek, o firewall examina skills, plugins, servidores MCP e outros complementos antes e depois da implantação, procurando instruções maliciosas, permissões excessivas e riscos de cadeia de suprimentos. Quando um item é classificado como malicioso, vulnerável ou não aprovado, a plataforma promete identificar os agentes e fluxos dependentes e revogar a autorização na organização.
O ciclo proposto passa, portanto, pela descoberta do agente, identificação de suas dependências, avaliação do complemento, autorização e revisão posterior dessa decisão. O verbo “vigia” descreve essa ambição de acompanhamento persistente; não significa, por enquanto, que a eficácia tenha sido demonstrada por auditoria independente.
O firewall tenta proteger o contexto do agente
Firewalls de rede controlam o tráfego entre sistemas, ferramentas de endpoint observam processos e arquivos, e controles de identidade determinam quem pode acessar um recurso. A AIR tenta operar em uma camada diferente: o conjunto mutável de instruções, ferramentas e dados que orienta o comportamento do agente.
A distinção importa porque uma ação pode usar uma conexão permitida e credenciais válidas, mas ainda ter sido induzida por conteúdo contaminado. No modelo de ameaça adotado pela startup, um invasor pode influenciar o agente por meio de uma página consultada, de instruções externas ou de uma dependência alterada, sem necessariamente invadir o modelo principal.
A proposta combina inventário da frota, filtragem de complementos, fiscalização de ações em tempo de execução e um catálogo de itens previamente avaliados. Em termos administrativos, isso busca dar à equipe de segurança um ponto central para visualizar dependências e aplicar políticas entre diferentes fornecedores de agentes.
Essa abrangência também exige cuidado ao interpretar o produto. Descobrir um agente não equivale a inspecionar todo o seu contexto; aprovar um complemento não garante que seu comportamento permanecerá inalterado; e bloquear uma dependência conhecida não demonstra cobertura sobre componentes ainda não identificados. São problemas relacionados, mas tecnicamente distintos.
A rodada financia uma tese ainda sem benchmark independente
As páginas consultadas sustentam a captação, a saída do sigilo e as funções gerais atribuídas ao firewall. Elas não apresentam, porém, uma avaliação independente com métricas comparáveis de detecção, falsos positivos, latência, cobertura entre fornecedores ou velocidade de revogação.
Também permanece incerto se a análise oferece a mesma profundidade para categorias diferentes. Uma skill composta principalmente por instruções, um plugin com várias dependências e um servidor MCP com acesso a ferramentas e dados podem estar sujeitos à mesma política administrativa, mas não necessariamente ao mesmo método de inspeção ou ao mesmo perfil de risco.
A diferença diante dos controles tradicionais é, portanto, uma proposta comercial coerente com a nova superfície criada pelos agentes, não uma superioridade já comprovada. O financiamento dá à AIR recursos para desenvolver e vender essa infraestrutura; os próximos elementos decisivos serão avaliações reproduzíveis, métricas operacionais e evidências de que descoberta, bloqueio e revogação funcionam com a abrangência anunciada.
Leia também:
Assine nossa newsletter
Receba as últimas notícias sobre Web3, IA e cripto diretamente no seu e-mail.