Identity Fabric ganha nova relevância diante de agentes capazes de acessar sistemas, tomar decisões, delegar tarefas e agir em nome de pessoas e empresas
Por Redação Crypto ID
Nas últimas semanas, o Crypto ID acompanhou uma sequência de publicações da KuppingerCole, empresa alemã independente de pesquisa e consultoria reconhecida por sua especialização em gestão de identidades e acessos, recoloca a arquitetura de identidade no centro da segurança da inteligência artificial. Em abril, a consultoria analisou como identidades não humanas e agentes de IA ampliam os desafios de governança. Em maio, apresentou sua proposta de uma AI Security Fabric. Em junho, tratou os agentes autônomos como parte dos problemas ainda não resolvidos pela gestão de identidades e acessos. Finalmente, em julho, Martin Kuppinger e Matthias Reinwarth retomaram a Identity Fabric, concebida em 2019, para avaliar o que permanece válido e como o modelo pode responder ao novo cenário.
É por isso que estamos trazendo o assunto agora. A novidade não é a criação da Identity Fabric, tampouco o lançamento de um produto. O que merece atenção é a tentativa de aplicar essa arquitetura a um ambiente no qual as identidades digitais não apenas acessam recursos, mas também interpretam objetivos, utilizam ferramentas, tomam decisões e executam ações com diferentes graus de autonomia.
A Identity Fabric não nasceu com a inteligência artificial
A KuppingerCole apresentou formalmente o conceito de Identity Fabric em 2019, definindo-o como uma infraestrutura lógica para a gestão corporativa de identidades e acessos, o Identity and Access Management, ou IAM. A proposta surgiu em resposta ao crescimento dos silos de identidade e à multiplicação de soluções separadas para funcionários, consumidores, parceiros, acessos privilegiados e outros públicos.
Em vez de tratar cada necessidade com uma ferramenta isolada, a Identity Fabric propõe uma visão integrada e orientada a serviços. Ela não é um software específico nem substitui as arquiteturas detalhadas de cada organização. Funciona como uma estrutura de referência para conectar estratégia, capacidades técnicas, serviços de identidade e tecnologias utilizadas na operação.
Na revisão publicada em 27 de julho de 2026, a KuppingerCole reforça uma regra importante: a definição deve partir das capacidades necessárias, passar pelos serviços que entregarão essas capacidades e somente depois chegar às ferramentas. A ordem não deve ser invertida. Segundo a consultoria, essa abordagem é usada em avaliações de maturidade, análises de lacunas, definição de roadmaps e seleção de soluções.
Isso ajuda a compreender por que a Identity Fabric continua relevante. Novas siglas e categorias aparecem constantemente no mercado, mas nem todas representam uma capacidade realmente inédita. Muitas vezes, descrevem uma nova combinação, aplicação ou embalagem de recursos que já deveriam fazer parte de uma arquitetura integrada.
O que os agentes de IA realmente mudam
Durante muito tempo, os programas de IAM foram estruturados principalmente para administrar pessoas, contas corporativas e identidades técnicas com comportamentos relativamente previsíveis. As identidades não humanas, como aplicações, APIs, workloads, máquinas e contas de serviço, não são novas. O que mudou foi a escala, a prioridade e a complexidade atribuídas a elas.
Os agentes de IA acrescentam uma diferença importante. Eles podem atuar de forma orientada a objetivos, escolher ferramentas, chamar interfaces de programação de aplicações, manipular arquivos, executar código, iniciar fluxos de trabalho e delegar tarefas a outros agentes. Isso amplia o problema para além da autenticação inicial e cria uma superfície de segurança centrada também em ação, identidade e delegação.
A própria KuppingerCole reconhece que os modelos tradicionais e determinísticos de acesso não foram desenhados para situações nas quais o ator, o caminho utilizado e o destino da ação podem ser definidos apenas durante a execução. Em sua proposta de AI Security Fabric, a consultoria aponta descoberta, autorização e governança como pilares para controlar esses ambientes e classifica a delegação de tokens como um dos problemas mais difíceis ainda sem solução definitiva.
O desafio, portanto, não é simplesmente cadastrar um agente como se fosse mais uma conta de serviço. É necessário identificar quem o criou, quem o autorizou, em nome de quem ele atua, quais recursos pode utilizar, quais ações pode delegar e quem responderá pelo resultado.
Identidade precisa estar ligada à responsabilidade
Uma das observações mais relevantes nas publicações recentes da KuppingerCole é que a governança dos agentes não pode depender exclusivamente da presença constante de uma pessoa em cada decisão. Entretanto, deve existir uma pessoa, uma equipe ou um responsável por aplicação associado ao serviço e aos agentes que operam naquele ambiente. Autonomia operacional não pode significar ausência de responsabilidade.
Essa associação precisa permanecer verificável durante todo o ciclo de vida do agente. Não basta saber que determinada ação foi executada por uma inteligência artificial. Será necessário demonstrar qual agente agiu, sob qual identidade, com qual autorização, a partir de qual objetivo e utilizando quais recursos.
Também será preciso controlar as cadeias de delegação. Um agente autorizado por um funcionário pode acionar outro agente, que utiliza uma ferramenta externa e acessa um sistema corporativo. Cada etapa pode possuir permissões, contextos e riscos diferentes. Sem registros consistentes, limites técnicos e responsabilidades previamente definidas, a organização poderá saber que uma ação ocorreu, mas não necessariamente por que foi permitida.
A autorização torna-se dinâmica
As publicações analisadas também mostram que a autenticação, isoladamente, não resolverá o problema. Um agente pode estar corretamente identificado e ainda assim executar uma ação inadequada, excessiva ou incompatível com o objetivo originalmente autorizado.
Na avaliação da KuppingerCole após a European Identity and Cloud Conference 2026 – realizada de 19 a 22 de maio de 2026, no bcc Berlin Congress Center – a autorização dinâmica e a análise de comportamento aparecem entre as necessidades mais urgentes para a evolução do IAM. A consultoria compara o agente a uma nova forma de ameaça interna: ele pode possuir credenciais legítimas e acesso permitido, mas atuar de forma autônoma e não determinística.
A decisão de acesso, portanto, precisa considerar não apenas quem está solicitando uma ação, mas também em nome de quem, com qual finalidade, em que contexto, sobre quais dados e com que possibilidade de impacto.
Isso aproxima a gestão de identidades da governança de dados, da proteção de APIs, da observabilidade, da gestão de riscos e dos mecanismos de resposta. Nenhuma dessas capacidades, isoladamente, oferece uma solução completa. É justamente essa necessidade de coordenação que sustenta a ideia de uma arquitetura em formato de fabric.
O que as empresas devem observar agora
A leitura conjunta das publicações sugere que as organizações não deveriam começar pela compra de uma nova solução apresentada como resposta definitiva à segurança dos agentes de IA.
O primeiro passo é mapear as capacidades necessárias: descoberta de agentes, identificação, autenticação, autorização, governança, gestão do ciclo de vida, atribuição de responsabilidade, controle da delegação, observabilidade e interrupção de atividades inadequadas.
Depois, será necessário avaliar quais serviços já existentes podem atender a essas capacidades, quais precisam ser integrados e onde permanecem lacunas. Somente então faz sentido escolher ou substituir ferramentas. Essa é a lógica central reafirmada pela KuppingerCole: capacidades, serviços e, por último, tecnologias.
A Identity Fabric não elimina os desafios criados pela inteligência artificial nem constitui, por si só, uma solução pronta. Sua importância está em oferecer um modelo para evitar que cada novo problema seja respondido com mais uma ferramenta desconectada.
Sete anos depois de sua formulação, o conceito volta ao debate porque os silos que ele pretendia combater podem se multiplicar rapidamente com a chegada dos agentes de IA. Agora, porém, integrar identidades e acessos não será suficiente. A arquitetura também terá de preservar intenção, contexto, delegação e responsabilidade.
IA já está no chão de fábrica: quem autentica as máquinas que decidem?
Pense como um hacker: modernização da PKI vira prioridade estratégica
IAM e CIAM autenticam, IGA governa: entenda a diferença antes de contratar
Segurança digital: muito além das senhas. Por José Luiz Vendramini
IAM: Segurança que vai além do acesso
Em um ambiente sem perímetro definido, é a identidade que define quem acessa, como acessa e até onde pode ir. E a disciplina se desdobra: o IGA governa e audita esses acessos, e o PAM protege os privilégios mais críticos. O Crypto ID, referência editorial em tecnologia e segurança digital, mantém conteúdo riquíssimo sobre IAM – Identity and Access Management e todo o seu ecossistema.
Acesse a coluna e confira.
Identidade é quem você é. Identificação digital é como você prova isso. O Crypto ID trata dessa distinção desde 2014 e sobre identificação de pessoas e identidades não humanas (NHIs) com abordagem técnica e acadêmica, você só lê aqui!
