Conceder permissões a um agente de inteligência artificial não é uma tarefa de configuração: é uma decisão arriscada que deve ser tomada com o mesmo rigor com que se decide quem tem autoridade para assinar em uma conta bancária. Cada permissão adicional aumenta o potencial de dano, e esse aumento não é compensado pela qualidade do modelo, porque o risco não decorre de o modelo ser falho: decorre do fato de ele poder ser manipulado ou cometer erros dentro do escopo que você lhe concedeu.
A fórmula que usamos internamente é simples: Um agente não pode causar danos em um local onde não está autorizado.. Todo o projeto de segurança de um sistema agente deriva dessa frase.
A OWASP, em sua lista dos 10 principais riscos para aplicações de modelos de linguagem em 2025, classifica a injeção de código em primeiro lugar pelo segundo ano consecutivo e dedica uma categoria inteira — LLM06, *Agência Excessiva* — exatamente a esse problema. A OWASP o divide em três formas:
Todas as três são decisões de projeto, não falhas do modelo. E todas as três são quase sempre tomadas durante a fase de integração, por razões técnicas e sem que ninguém na empresa saiba.
A ligação entre essas duas abordagens é a injeção indireta de instruções: conteúdo externo — um e-mail, um PDF de um fornecedor, uma página da web, um ticket de cliente — contendo instruções direcionadas ao modelo. O agente lê isso como parte de seu contexto e age de acordo. Se suas permissões forem amplas, um texto escrito por terceiros pode acabar executando ações em seus sistemas.
É por isso que a segurança de um agente não é resolvida escolhendo um modelo melhor. Ela é resolvida limitando o que o agente pode fazer quando alguém consegue influenciá-lo.
Eis uma mudança estrutural que muitas organizações ainda não incorporaram à sua gestão de acessos. Durante vinte anos, o controle de identidade foi concebido para pessoas: integração, desligamento, funções, revisões periódicas. Os agentes introduzem identidades que não representam pessoas; são criadas em minutos, não constam do organograma e raramente são revisadas.
O relatório da IBM sobre o custo de uma violação de dados em 2025 fornece os dados que comprovam a conclusão do argumento: Das 971 organizações que sofreram incidentes relacionados à IA, 3T não possuíam controles de acesso adequados.. Não é uma questão de sofisticação do atacante. É uma questão de higiene das permissões.
Já abordamos esse assunto detalhadamente em identidades não humanas, agentes de IA e cibersegurança, Mas, em resumo, o processo é o seguinte: se o seu processo de gestão de acessos não inclui identidades não humanas, o seu inventário de acessos está incompleto, provavelmente na parte que tem maior potencial.
Nem todas as licenças apresentam o mesmo perfil de risco. Essa classificação permite que uma decisão seja tomada em uma reunião de trinta minutos.
Nível | O que o agente pode fazer? | Controle necessário |
1. Leitura limitada | Consultar dados para um domínio específico | Registro de acesso e limite de volume |
2. Leitura extensiva | Consultar múltiplos sistemas e dados sensíveis | Permissões baseadas em funções, mascaramento de dados, auditoria |
3. Escrita reversível | Criar rascunhos, propostas e registros pendentes. | Validação humana antes da confirmação |
4. Escrita irreversível | Pagamentos, comunicação com o cliente, alterações na produção | Plano de aprovação explícita, controle duplo e reversão |
A regra geral é que A maior parte do valor comercial está nos níveis 1 e 3., E a maior parte do risco está na etapa 4. Um agente que prepara o reembolso e o deixa pendente de aprovação aproveita quase toda a economia de tempo com uma fração do risco de quem executa o reembolso.
Quando alguém insiste no nível 4, a pergunta certa é quanto valor adicional ele oferece em comparação com o nível 3. Geralmente, é o tempo que a pessoa leva para apertar um botão. Raramente compensa.
Identidade de si mesmo por meio de um agente. Nunca utilize uma conta compartilhada ou reutilize uma conta de serviço existente. Sem uma identidade única, não há como comprovar o ocorrido.
Valor mínimo por tarefa, não por agente. Se o agente executar três tarefas diferentes, cada uma deverá ter seu próprio escopo. Uma permissão concedida para uma tarefa torna-se disponível para todas as outras.
Credenciais de curto prazo. Tokens que expiram, não chaves permanentes em um arquivo de configuração.
Lista de ações permitidas. Defina explicitamente quais operações podem ser executadas, em vez de definir quais não podem. Esta última definição é sempre incompleta.
Limites de volume e quantidade. Um agente que pode emitir reembolsos deve ter um limite por transação e por dia. É o mesmo princípio que se aplica a qualquer indivíduo com poder aquisitivo.
Registro completo e imutável. O que foi inserido, o que foi decidido, o que foi executado, com qual versão do modelo e quem o validou. Sem isso, não há auditoria nem possibilidade de defesa.
Interruptor de parada. Um mecanismo para interromper o agente sem implantar código e sem depender do fornecedor.
Nenhuma das sete é incomum. Todas são práticas de segurança padrão aplicadas a um novo agente malicioso. O que chama a atenção é a frequência com que são omitidas justamente porque o agente é novo e não se encaixa nos procedimentos existentes.
O risco deste artigo é que ele possa ser interpretado como um argumento a favor da inação. Não é. A abordagem que funciona é a escala progressiva:
Este é o mesmo princípio de supervisão em camadas que aplicamos ao integrar componentes de IA em sistemas empresariais, e a razão pela qual a governança não é uma fase final do projeto, mas sim uma propriedade de sua arquitetura, como explicamos em Riscos da IA, alucinações e governança
Antes de aprovar qualquer implantação de agente, é recomendável responder a esta pergunta: Se um estranho pudesse escrever o texto que este agente está prestes a ler, qual seria a pior coisa que ele poderia fazer com que o fizesse?
Se a resposta for "consultar informações públicas", o risco é aceitável. Se a resposta for "efetuar um pagamento" ou "enviar uma carta a todos os nossos clientes", o projeto não está completo.
Porque determinam a superfície de dano potencial. Um agente não pode causar danos onde não está autorizado, independentemente da qualidade do modelo ou se este foi manipulado. A OWASP dedica uma categoria separada a este problema na sua lista das 10 principais aplicações de LLM para 2025: Agência Excessiva.
Trata-se da concessão de capacidade excessiva a um agente, em três formas: funcionalidade excessiva (acesso a ferramentas que sua tarefa não exige), permissões excessivas (identidade com mais privilégios do que o necessário) e autonomia excessiva (execução de ações de alto impacto sem validação humana).
Trata-se da concessão de capacidade excessiva a um agente, em três formas: funcionalidade excessiva (acesso a ferramentas que sua tarefa não exige), permissões excessivas (identidade com mais privilégios do que o necessário) e autonomia excessiva (execução de ações de alto impacto sem validação humana).
Sete: identidade única e não compartilhada, permissão mínima por tarefa, credenciais de curta duração, lista branca de ações permitidas, limites de volume e quantidade, registro completo e imutável de cada execução e um mecanismo de parada que não exige a implantação de código.
Apenas para ações reversíveis e de baixo impacto, e somente após medir, durante um período suficiente, qual a porcentagem de propostas aprovadas sem alterações. A remoção da validação humana devido à pressão do cronograma é a causa mais comum de incidentes em sistemas agentivos.
Semelhante aos controles de acesso humanos, mas com mais rigor: registro documentado, proprietário atribuído, permissões passíveis de revisão, expiração de credenciais e revisão periódica. A IBM documentou em 2025 que o protocolo 97% para organizações que vivenciam incidentes relacionados à IA carecia de controles de acesso adequados.
Você sabe exatamente o que cada agente que você implantou pode fazer? Auditamos o escopo, as identidades, as permissões e a rastreabilidade de seus sistemas de IA e entregamos o diagnóstico por escrito. Solicitar auditoria → |
Español Español 
English
Français
العربية
Português
Deutsch
Italiano
