Relatório coloca identidades de máquinas, agentes autônomos, autorização e credenciais verificáveis entre as tecnologias que estão redefinindo o IAM
Por Regina Tupinambá
Gartner Hype Cycle 2026 mostra como a IA está mudando a arquitetura da identidade digital
Agentes de IA, identidades de máquinas, autorização e credenciais verificáveis passam a ocupar o mesmo ambiente de confiança digital
Por Regina Tupinambá
A inteligência artificial está mudando uma questão básica da segurança digital: quem, ou o que, precisa ter uma identidade?
Durante muito tempo, a Gestão de Identidades e Acessos, IAM (Identity and Access Management), esteve concentrada principalmente nas pessoas: identificar o usuário, autenticá-lo e definir a quais sistemas e informações ele poderia ter acesso.
O Gartner Hype Cycle for Digital Identity, 2026 mostra que esse universo se ampliou.
Agora precisamos considerar também aplicações, serviços, workloads, identidades de máquinas e, cada vez mais, agentes de inteligência artificial capazes de acessar sistemas e realizar tarefas em nome de pessoas e empresas.
O Gartner mapeia 29 inovações em identidade digital. Entre elas estão identidade de agentes de IA, CIAM para agentes de IA, gerenciamento de identidade e acesso de workloads, plataformas de autorização, gestão da postura de segurança de identidade, plataformas de visibilidade e inteligência de identidade, SPIFFE, identidade descentralizada e credenciais verificáveis.
Mais importante do que olhar cada tecnologia isoladamente é perceber como essas peças começam a formar uma nova arquitetura de confiança digital.
94% das organizações já enfrentam o crescimento das identidades de máquinas
Uma pesquisa Gartner Machine Identity de 2025 mostrou que 94% das organizações pesquisadas registravam aumento nas identidades de máquinas, impulsionado principalmente pelas implantações de IA e agentes de IA.
Isso muda a escala do IAM.
Uma organização pode ter milhares de funcionários e clientes, mas passa a administrar também aplicações, serviços, processos automatizados, workloads e agentes que precisam se identificar e receber permissões.
E o agente de IA adiciona uma nova questão.
Ele não apenas acessa um sistema. Pode consultar informações, utilizar APIs, escolher ferramentas e executar ações para alcançar determinado objetivo.
Por isso, precisamos saber:
quem é esse agente, em nome de quem está agindo e o que está autorizado a fazer?
Essas três perguntas ajudam a entender boa parte das tecnologias destacadas pelo Gartner.
O agente de IA precisa ter sua própria identidade
O Gartner inclui entre as inovações a identidade de agentes de IA.
A lógica é simples: se um agente executa ações dentro da organização, ele precisa ser identificável.
Utilizar contas humanas compartilhadas ou identidades genéricas para agentes compromete três pontos fundamentais para qualquer arquitetura de confiança:
individualização, rastreabilidade e responsabilização.
Precisamos conseguir distinguir um agente dos demais, relacioná-lo a quem é responsável por ele e saber quais recursos acessou, quais autorizações recebeu e quais ações executou.
O princípio não é novo para o IAM.
O que mudou foi o sujeito. Agora ele também pode ser um software autônomo.
Quando o cliente manda seu agente falar com a empresa
Outro conceito destacado pelo Gartner é o CIAM para agentes de IA.
CIAM, Customer Identity and Access Management, é a gestão de identidades e acessos dos clientes.
Mas imagine que, em vez de o consumidor entrar diretamente no site de uma empresa, ele envie seu agente de IA para pesquisar um produto, fazer uma reserva, pedir uma cotação ou iniciar uma transação.
A empresa não poderá simplesmente considerar que aquele agente é o cliente.
Ela precisará identificar o agente, saber quem o enviou e verificar o que aquela pessoa efetivamente permitiu que ele fizesse.
Aqui a arquitetura começa a ficar mais clara:
identidade: quem é o agente?
delegação: quem permitiu que ele agisse?
autorização: o que ele pode fazer?
E provavelmente será necessário definir também prazo, escopo e condições para revogar essa autorização.
Identificar não significa autorizar
Essa é uma distinção fundamental.
Autenticação responde: quem é você?
Autorização responde: o que você pode fazer?
Um agente pode estar perfeitamente identificado e autenticado e, ainda assim, não ter autorização para acessar determinada informação ou executar uma operação.
É por isso que o Gartner também acompanha as plataformas de gerenciamento de autorização, que centralizam a criação e aplicação de políticas para infraestrutura, APIs, aplicações e dados.
O tema já está avançando também entre os padrões abertos.
O AuthZEN, da OpenID Foundation, trabalha justamente com interoperabilidade de autorização. Em 2026, a iniciativa avançou sobre cenários envolvendo agentes de IA, incluindo consentimento, autoridade delegada, avaliação de risco e aprovação.
Ou seja, identidade do agente e poder concedido ao agente começam a ser tratados como problemas distintos, mas conectados.
Não basta gerenciar identidades. É preciso enxergá-las
O crescimento das identidades humanas e não humanas cria outro problema: visibilidade.
É nesse contexto que aparecem duas áreas importantes no Hype Cycle.
A primeira é o Identity Security Posture Management, ISPM, voltado à avaliação e ao monitoramento das políticas, configurações, permissões e riscos relacionados à infraestrutura de identidade.
A segunda são as Identity Visibility and Intelligence Platforms, IVIP, que buscam oferecer uma visão consolidada das identidades e dos acessos existentes na organização.
A lógica é bastante prática.
Quanto mais identidades uma empresa possui, mais difícil se torna responder perguntas básicas:
Quem possui acesso a quê?
Que identidades continuam ativas?
Quais permissões são excessivas?
Que relações existem entre pessoas, máquinas, aplicações e agentes?
Criar a identidade é apenas o começo. Ela precisa ser continuamente observada e protegida.
Antes dos agentes de IA já existiam as identidades de workloads
A discussão sobre identidades não humanas não nasceu com a IA.
Aplicações, serviços, processos e contêineres já precisavam se identificar para comunicar-se com outros componentes.
É nesse universo que está o SPIFFE, Secure Production Identity Framework for Everyone, destacado pelo Gartner.
O SPIFFE fornece identidades criptográficas para workloads em ambientes distribuídos.
Uma aplicação ou serviço pode receber uma identidade própria e utilizá-la para provar quem é antes de acessar outro sistema.
O que os agentes de IA fazem é ampliar a importância dessa discussão.
Se já precisávamos identificar aplicações e workloads, agora precisamos incorporar entidades capazes não apenas de executar processos, mas também de tomar decisões e agir com determinado nível de autonomia.
E onde entram as credenciais verificáveis?
Apesar da forte atenção dada à inteligência artificial, o Gartner mantém credenciais verificáveis e identidade descentralizada entre as inovações de potencial transformador.
Esse ponto conversa diretamente com uma discussão que tenho feito no Crypto ID.
No artigo “Por que precisamos expandir o debate sobre credenciais verificáveis”, defendi que não deveríamos analisar essas credenciais apenas no contexto das pessoas.
Precisamos enxergar dentro da mesma arquitetura de confiança pessoas, empresas, equipamentos IoT e agentes de inteligência artificial.
O Hype Cycle 2026 reforça essa necessidade.
Isso não significa dizer que identidade de agente, identidade de workload, credencial verificável e identidade descentralizada são a mesma tecnologia.
Não são.
Mas elas podem ocupar partes diferentes da mesma arquitetura.
Uma entidade precisa ser identificada.
Pode precisar comprovar determinados atributos.
Alguém ou algum sistema precisa determinar o que ela está autorizada a fazer.
Suas atividades precisam ser rastreáveis.
E a confiança concedida precisa poder ser alterada ou revogada.
É quando olhamos o conjunto que a arquitetura aparece.
A identidade deixa de ser uma verificação isolada
Outro movimento apontado pelo Gartner é o crescimento de padrões destinados ao compartilhamento contínuo de sinais de segurança.
O Shared Signals Framework, SSF, por exemplo, permite que sistemas compartilhem informações capazes de provocar uma reavaliação do acesso.
Isso também representa uma mudança importante.
Não basta autenticar uma entidade às 9 horas e pressupor que todas as condições continuam iguais horas depois.
O risco pode mudar. Uma credencial pode ser comprometida. Uma autorização pode ser retirada.
A confiança precisa acompanhar essas mudanças.
A IA está conectando peças que antes eram analisadas separadamente
Identidades de máquinas, workloads, autorização, credenciais criptográficas e modelos descentralizados de confiança já existiam antes da explosão dos agentes de IA.
O que a IA está fazendo é acelerar a necessidade de conectar essas tecnologias.
Quanto mais autonomia concedermos às máquinas, mais importante será responder claramente:
Quem é essa entidade?
Como ela prova quem é?
Em nome de quem está agindo?
O que está autorizada a fazer?
Como acompanhar e revogar essa autorização?
Essa, para mim, é uma das leituras mais importantes do Gartner Hype Cycle for Digital Identity 2026.
Não estamos apenas acrescentando agentes de IA ao IAM.
Estamos caminhando para uma infraestrutura em que pessoas, empresas, aplicações, equipamentos, workloads e agentes de IA precisarão coexistir dentro de uma mesma arquitetura de confiança, cada um com sua identidade, suas credenciais e seus limites de atuação.
No próximo artigo, vou avançar para a Matriz de Prioridades para Identidade Digital, 2026, analisando o potencial de benefício, a maturidade e o horizonte de adoção das tecnologias destacadas pelo Gartner.
Por que precisamos expandir o debate sobre credenciais verificáveis
ID Flash | Identidade, credencial, DID e agente de IA: como não confundir os conceitos
NetAdmin estreia como expositora no Gartner com nova plataforma brasileira de identidade e acesso
Glossário: identidade digital na era dos agentes de IA
Agente de IA
Sistema de inteligência artificial capaz de executar tarefas, tomar decisões e interagir com aplicações, serviços, dados ou outros sistemas para alcançar um objetivo, com diferentes níveis de autonomia.
Identidade de agente de IA — Representação digital única atribuída a um agente de inteligência artificial para que ele possa ser identificado, autenticado, autorizado e ter suas ações rastreadas dentro de um ambiente digital.
Identidade de máquina — Identidade atribuída a entidades não humanas, como aplicações, serviços, dispositivos, workloads, APIs, robôs de software e agentes de IA, permitindo que sejam reconhecidas e autenticadas.
Autenticação — Processo utilizado para verificar se uma pessoa, máquina, aplicação ou agente é realmente a identidade que afirma ser.
Autorização — Processo que determina quais recursos uma identidade pode acessar e quais ações está autorizada a executar depois de identificada ou autenticada.
Plataforma de gerenciamento de autorização Infraestrutura destinada à criação, administração, orquestração e aplicação de políticas de autorização em ambientes como aplicações, APIs, dados e infraestrutura tecnológica.
Workload Aplicação, serviço, processo, contêiner ou outro componente computacional que executa uma tarefa dentro de uma infraestrutura digital.
Identidade de workload Identidade digital atribuída a uma workload para permitir que ela seja autenticada e autorizada na comunicação com outros sistemas, serviços ou recursos.
ISPM — Identity Security Posture Management Gestão da Postura de Segurança da Identidade. Disciplina voltada à avaliação e ao monitoramento contínuo das configurações, políticas, permissões e riscos relacionados à infraestrutura de identidade de uma organização.
IVIP — Identity Visibility and Intelligence Platform Plataforma de Visibilidade e Inteligência de Identidade. Tecnologia destinada a reunir informações sobre identidades, contas, acessos e privilégios para ampliar a visibilidade do ambiente e apoiar a identificação de riscos e a tomada de decisões.
SPIFFE — Secure Production Identity Framework for Everyone Conjunto aberto de especificações para atribuir e verificar identidades criptográficas de workloads em ambientes computacionais distribuídos.
SPIFFE ID Identificador utilizado pelo SPIFFE para representar de forma única uma workload dentro de determinado domínio de confiança.
SVID — SPIFFE Verifiable Identity Document Documento de identidade verificável utilizado pelo SPIFFE para que uma workload possa comprovar criptograficamente sua identidade.
Credencial verificável — Verifiable Credential, VC Credencial digital estruturada para permitir que determinadas informações ou atributos possam ser apresentados e verificados criptograficamente, com mecanismos para comprovação de integridade e autenticidade.
Identidade descentralizada — Conjunto de modelos e tecnologias que busca permitir a gestão e a comprovação de identidades e atributos digitais com menor dependência de uma autoridade ou repositório central.
Delegação — Mecanismo pelo qual uma identidade concede a outra entidade, inclusive um agente de IA, autorização para executar determinadas ações em seu nome e dentro de limites previamente definidos.
AuthZEN — Iniciativa da OpenID Foundation voltada à padronização e à interoperabilidade entre sistemas e componentes responsáveis por decisões e políticas de autorização.
SSF — Shared Signals Framework
Padrão da OpenID Foundation para compartilhamento seguro de sinais e eventos entre sistemas, permitindo que mudanças de risco ou segurança possam influenciar continuamente decisões relacionadas a acesso.
CAEP — Continuous Access Evaluation Profile
Perfil associado ao Shared Signals Framework que permite reavaliar continuamente condições de acesso diante de mudanças de contexto ou de segurança, sem depender apenas da autenticação realizada no início de uma sessão.
RISC — Risk Incident Sharing and Coordination
Mecanismo para compartilhamento de informações sobre incidentes e eventos de risco entre diferentes sistemas e organizações, também relacionado ao ecossistema de Shared Signals.
API — Application Programming Interface
Interface que permite que aplicações, sistemas, serviços e agentes se comuniquem e executem operações entre si de maneira estruturada.
Postura de identidade Condição geral de segurança das identidades, privilégios, políticas, configurações e relações de acesso existentes dentro de uma organização.
Privilégio — Permissão concedida a uma identidade para executar determinada ação ou acessar determinado recurso.
Revogação — Processo de retirar uma credencial, autorização, permissão ou condição de confiança anteriormente concedida a uma identidade.
Identidade é quem você é. Identificação digital é como você prova isso. O Crypto ID trata dessa distinção desde 2014 e sobre identificação de pessoas e identidades não humanas (NHIs) com abordagem técnica e acadêmica, você só lê aqui!
REGINA TUPINAMBÁ | CCO –Regina Tupinambá é Chief Content Officer (CCO) e cofundadora do Crypto ID. Publicitária formada pela PUC-Rio, construiu sua carreira em empresas nacionais e internacionais, com passagens pela McCann-Erickson, Grupo Artplan, Rede Globo de Televisão e Rede Bandeirantes. Ao longo dessa trajetória, atuou em projetos e estratégias de comunicação para marcas de grande relevância, entre elas Coca-Cola, Grupo L’Oréal, Nestlé, McDonald’s, Exxon, General Motors, Petrobrás, Banco do Brasil, CAIXA e Ambev, participando da definição e implementação de estratégias de posicionamento, comunicação e construção de marcas.
Em 1999, direcionou sua carreira para o setor de segurança digital, tornando-se executiva das áreas comercial e de marketing de uma Autoridade Certificadora brasileira. Acompanhou a criação da AC Raiz da ICP-Brasil e além de atuar no desenvolvimento do mercado de certificados SSL no Brasil.
Desde 2014, dirige a estratégia editorial do Crypto ID e também é diretora da Insania Publicidade, agência que integra o Grupo Crypto ID de Comunicação. Acesse seu LinkedIn. Leia outros artigos escritos por Regina, aqui!
Inteligência Editorial que Orienta Cenários
Temos como propósito apresentar informações completas, contextualizadas e tecnicamente relevantes. Não disputamos a corrida pela notícia imediata. Nosso compromisso é produzir conteúdos que ajudem efetivamente nossos leitores a tomar decisões, especialmente nos mercados brasileiro e latino-americano. E há ainda um resultado que confirma essa estratégia: a audiência expressiva que conquistamos também entre as plataformas e os mecanismos de busca baseados em inteligência artificial.
Faça parte desse contexto! contato@cryptoid.com.br
