Agentes de IA podem acessar dados, sistemas e executar ações. Veja o que avaliar em identidade, privilégios, prompt injection, autonomia e auditoria
Por Redação Crypto ID
A discussão sobre agentes de inteligência artificial nas empresas ainda está muito concentrada em produtividade e automação. Para quem olha o tema pela perspectiva da segurança, porém, existe uma pergunta anterior: que autoridade estamos entregando a esses agentes?
A diferença é importante. Um chatbot responde. Um agente pode consultar bases de dados, acessar aplicações, utilizar APIs, iniciar processos e, dependendo da arquitetura, executar ações sem que uma pessoa aprove individualmente cada uma delas.
O próprio National Institute of Standards and Technology (NIST) chamou atenção para essa mudança. Em relatório publicado em maio de 2026, o instituto concluiu que os princípios tradicionais de cibersegurança continuam relevantes, mas precisam ser adaptados para lidar adequadamente com os riscos específicos dos agentes de IA.
A identidade do agente precisa vir antes da autonomia
O primeiro ponto a observar é simples: quem é o agente dentro da infraestrutura da empresa?
Um agente que executa tarefas corporativas não deveria operar simplesmente herdando todas as credenciais e privilégios do funcionário que o acionou. A arquitetura precisa permitir identificar o agente, determinar quem pode utilizá-lo, quais recursos ele pode acessar, por quanto tempo, em qual contexto e como essa autorização será revogada. Isso traz para o universo da IA princípios já conhecidos da segurança de identidade: autenticação, autorização, segregação de funções e menor privilégio.
O problema ganha outra dimensão porque a Open Worldwide Application Security Project (OWASP) classifica o abuso de identidade e privilégios entre os principais riscos das aplicações com agentes. Também alerta para a chamada agência excessiva, quando um agente recebe mais funcionalidades, permissões ou autonomia do que realmente necessita.
Descobrir os agentes existentes também faz parte da segurança
Antes de controlar agentes, a empresa precisa saber quais deles existem e estão sendo utilizados. Isso inclui ferramentas adotadas oficialmente, agentes criados pelas próprias áreas de negócio e serviços externos utilizados por funcionários sem conhecimento da TI.
Esse chamado shadow AI já deixou de ser uma questão apenas de governança. O Cost of a Data Breach Report 2025, baseado em 600 organizações que sofreram violações, constatou que 63% não tinham políticas de governança de IA implementadas. Entre as organizações que registraram incidentes de segurança relacionados à IA, 97% não possuíam controles adequados de acesso.
Portanto, ao estudar uma arquitetura corporativa de agentes, é necessário verificar se ela permite responder: quais agentes estão ativos, quem os utiliza, quais sistemas acessam e quais dados circulam por eles?
O segundo limite é o dado
Não basta controlar quem acessa o agente. É preciso controlar aquilo que o agente pode receber, consultar, processar e transmitir. Dados pessoais, informações financeiras, contratos, propriedade intelectual, código-fonte e credenciais não deveriam depender exclusivamente da decisão do usuário de inseri-los ou não em um prompt. Esse controle precisa ser aplicado de acordo com a classificação da informação e acompanhar os diferentes pontos pelos quais os dados podem chegar à IA.
É justamente nesse aspecto que Samir Chuffi, diretor da Business Unit de Microsoft da SoftwareOne, destaca os recursos tecnológicos já disponíveis: “É exatamente aí que entram Purview, DLP e Defender. Essas ferramentas conseguem identificar informações sensíveis como dados pessoais, informações financeiras, contratos, código-fonte ou credenciais e impedir que sejam compartilhadas com ferramentas de IA. O controle pode acontecer no dispositivo, no navegador, no e-mail, nos aplicativos Microsoft 365 e até em algumas plataformas externas. Não existe proteção absoluta para qualquer cenário, mas hoje já é possível reduzir bastante o risco de vazamento de informações.”
Prompt injection muda a lógica de proteção
Outro ponto que merece atenção é a prompt injection, especialmente a indireta. O risco não está apenas em alguém enviar deliberadamente uma instrução maliciosa ao agente. A instrução pode estar escondida em um documento, página, e-mail ou conteúdo externo que o agente foi autorizado a consultar. Nesse cenário, a empresa precisa avaliar não apenas se existem filtros, mas o que acontece caso eles falhem.
O agente consegue apagar um arquivo? Enviar uma mensagem? Alterar um cadastro? Executar uma transação? Acessar outra base? Essa é a razão pela qual menor privilégio e limitação de funcionalidades são tão importantes. A OWASP recomenda que agentes tenham somente as funções e permissões indispensáveis e que ações de alto impacto dependam de aprovação humana.
Autonomia precisa ter limite
Automatizar uma análise é diferente de automatizar uma decisão. Uma arquitetura madura precisa estabelecer previamente quais ações podem ocorrer de forma autônoma, quais dependem de determinado nível de confiança e quais obrigatoriamente precisam voltar para uma pessoa. Quanto maior o impacto potencial da decisão sobre dados, sistemas, clientes, dinheiro ou continuidade operacional, maior deve ser a exigência de validação. Não é suficiente perguntar o que o agente consegue fazer. A pergunta de segurança é: o que ele está autorizado a fazer sozinho?
E depois é preciso provar o que aconteceu
Por fim, existe uma questão que pode se tornar determinante para segurança, auditoria e responsabilização: a rastreabilidade. Diante de um incidente, a organização deveria conseguir reconstruir a sequência completa: quem iniciou a solicitação, qual agente recebeu a tarefa, qual identidade utilizou, quais autorizações possuía, que informações consultou, quais sistemas acessou e quais ações executou.
É também nesse ponto que mecanismos como credenciais verificáveis merecem ser observados. Elas podem ganhar espaço na comprovação de atributos e autoridade de quem delega uma tarefa e, futuramente, na demonstração de que determinado agente possui autorização para exercer uma função específica.
A chegada dos agentes não elimina os fundamentos da segurança digital. Ela torna identidade, autorização, menor privilégio, proteção de dados e evidência das ações ainda mais importantes. Antes de perguntar qual agente adotar, portanto, talvez a empresa devesse responder algo mais básico: quem ele será, a que terá acesso, o que poderá fazer sozinho e como tudo isso poderá ser comprovado depois.
Claude: A Inteligência Artificial que Nasce sob a Lógica da Segurança
ID Talk | Henrique Fabretti, do Opice Blum, destaca os desafios da confiança no ambiente digital
Quando o acesso ganha autonomia: agentes de IA estão quebrando o modelo clássico de controle
Acompanhe o melhor conteúdo sobre Inteligência Artificial publicado no Brasil.
