A expansão de agentes de IA amplia riscos de segurança e reforça importância da governança de identidades, controle de acessos e monitoramento contínuo
Por Kelly Stefani, CRO da Agility
A inteligência artificial está transformando a maneira como as empresas operam, automatizam processos e tomam decisões. Em 2026, com a expansão dos agentes de IA capazes de executar tarefas e interagir com diferentes sistemas com pouca intervenção humana, a governança de identidades ganha ainda mais relevância para a segurança corporativa.
A principal mudança está no aumento da autonomia dessas ferramentas. Agentes de IA passaram a executar ações e acessar informações em nome de pessoas e processos de negócio, exigindo um controle contínuo sobre quem pode fazer o quê, em nome de quem e por quanto tempo. Diante disso, a gestão de acessos precisa contemplar tanto as identidades humanas quanto as não humanas, com permissões mínimas, acessos temporários e capacidade de interrupção rápida.
O crescimento das identidades não humanas (NHI, na sigla em inglês) acompanha a expansão da computação em nuvem, das integrações e da automação. Esse universo inclui contas de serviço, aplicações, APIs, tokens e agentes de IA. Segundo o 2026 Identity Security Landscape Report, da Palo Alto Networks, a proporção chegou a 109 identidades de máquina para cada identidade humana, ante 82 para uma em 2025. O levantamento, realizado com 2.930 líderes de cibersegurança, também aponta uma expectativa de crescimento de 85% no número de agentes de IA.
O aumento não representa apenas um desafio de escala. O relatório 2026 Data and Identity Security Report, da Netwrix, identificou que 76% das organizações pesquisadas não governam nem monitoram integralmente suas identidades não humanas. Entre as empresas nas quais a IA ampliou significativamente o número de identidades com acesso, 43% relataram violações de segurança nos 12 meses anteriores, ante 11% daquelas em que os padrões de acesso não mudaram significativamente.
Os indicadores reforçam a necessidade de manter um inventário atualizado de identidades, conhecer suas permissões e avaliar continuamente os riscos. Cada acesso precisa ter uma finalidade definida, um responsável identificado e limites compatíveis com a atividade executada.
A autonomia dos agentes não elimina a responsabilidade da organização. Cada agente deve ter identidade digital individual, finalidade documentada e um responsável claramente definido. Entre os controles essenciais estão o princípio do privilégio mínimo, a concessão de acessos temporários, a aprovação humana para operações críticas e registros que permitam reconstruir quem autorizou cada ação, quais recursos foram acessados e quais foram os resultados. Também é necessário garantir a capacidade de interromper a atuação do agente e revogar seus acessos rapidamente.
A gestão deve contemplar todo o ciclo de vida das identidades, da criação à desativação, além da proteção de credenciais e da revogação de permissões desnecessárias. O monitoramento contínuo precisa identificar desvios de comportamento e permitir a investigação de incidentes. A rastreabilidade não deve se limitar às atividades executadas pelo agente, mas incluir as autorizações que permitiram cada operação.
Nas grandes empresas brasileiras, um obstáculo adicional é a fragmentação tecnológica. Sistemas legados, aplicações locais, diferentes provedores de nuvem e plataformas SaaS utilizam mecanismos distintos de autenticação e autorização, dificultando a visão centralizada dos acessos. A expansão da automação agrava problemas como contas sem responsáveis, permissões acumuladas e acessos mantidos após desligamentos.
Por isso, a prioridade deve ser estabelecer uma governança comum entre as áreas envolvidas, consolidar a visibilidade dos acessos e garantir que permissões indevidas possam ser identificadas e removidas rapidamente. Essa evolução pode começar pelos sistemas mais críticos, com critérios claros de responsabilidade, revisão de privilégios e resposta a incidentes.
Os riscos já aparecem em situações concretas. Em um caso investigado neste ano, um invasor utilizou modelos avançados de IA e agentes autônomos para conduzir uma intrusão contra a rede de uma empresa. Durante o ataque, os agentes mapearam a arquitetura interna, acessaram repositórios de código e obtiveram credenciais privilegiadas, além de iniciar operações de integração e entrega contínuas sem autorização. A investigação descreveu uma operação que levou menos de dez horas, ilustrando como a automação pode acelerar diferentes etapas de um ataque.
O episódio reforça que o risco está na combinação entre autonomia, credenciais comprometidas, privilégios excessivos e controles insuficientes. Para reduzir a exposição, as empresas precisam proteger credenciais, restringir permissões, monitorar continuamente as atividades e manter procedimentos para interromper acessos suspeitos.
A expansão dos agentes de IA torna a aplicação dos fundamentos da segurança ainda mais necessária. Para inovar com responsabilidade, as empresas devem incorporar a governança de identidades desde o planejamento das soluções, garantindo visibilidade, controle de privilégios e rastreabilidade. Governar quem, ou o que, acessa os recursos corporativos é condição para ampliar a automação com segurança e continuidade operacional.
Bry Tecnologia: migração para nuvem zerou downtime e preparou infraestrutura para o crescimento
Assinatura digital integrada: seu sistema gera o documento. Por que a assinatura acontece fora dele?
Acompanhe os principais conteúdos sobre Cloud!
