Agente de IA com acesso demais: quatro controles antes da produção

Antes de colocar um agente de IA em produção, submeta-o a quatro controles verificáveis: identidade própria com credenciais temporárias, capacidades separadas, telemetria comportamental e contenção automática com limites para intervenção humana. Esses controles reduzem o acesso disponível, revelam desvios e interrompem ações perigosas antes que alcancem o sistema de destino.

A aprovação deve depender de evidências, responsáveis definidos e critérios objetivos de bloqueio. O agente não deve entrar em produção se a equipe não conseguir demonstrar quem o autorizou, quais operações ele pode executar, como seu comportamento será observado e em que condições uma ação será negada ou encaminhada a uma pessoa.

1. Dê identidade própria ao agente

Não execute o agente com a conta de uma pessoa nem compartilhe a mesma identidade técnica entre cargas de trabalho diferentes. Crie uma identidade não humana para cada agente e registre seu proprietário humano, ambiente, finalidade e recursos autorizados. Assim, uma chamada pode ser atribuída ao componente correto e uma credencial comprometida pode ser revogada sem desligar agentes que não participaram do incidente.

A orientação da AWS para cargas agênticas recomenda identidade individual, credenciais temporárias e de escopo limitado, autenticação e autorização independentes por solicitação e monitoramento comportamental contínuo. Na implementação, prefira tokens emitidos para uma tarefa ou sessão, com validade curta e apenas as operações exigidas naquele contexto.

• Evidência: cadastro da identidade, política efetiva de acesso, validade da credencial e vínculo com o usuário ou serviço que delegou a tarefa.
• Responsável: equipe de identidade e acesso ou de plataforma, com aceite do proprietário do processo.
• Bloqueio: impedir a implantação se houver chave estática, conta humana compartilhada, credencial sem expiração ou permissão curinga.

2. Separe capacidades e reduza a autonomia

Menor privilégio não basta quando o agente também decide sozinho quais ferramentas usar e quando agir. O modelo de maturidade do SANS introduz o princípio da menor agência: primeiro é preciso confirmar que a autonomia é realmente necessária; depois, delimitar permissões e identidade. O modelo também vincula a avaliação de maturidade a evidências documentadas, em vez de aceitar apenas capacidades declaradas.

Transforme ferramentas amplas em operações estreitas. Um agente que resume mensagens precisa de leitura, não de envio ou exclusão; um assistente de catálogo pode consultar produtos sem alterar preços. Shell genérico, acesso irrestrito a URLs e escrita livre em banco de dados ampliam as consequências de uma decisão errada e devem dar lugar a funções específicas, com parâmetros validados no sistema de destino.

A classificação de agência excessiva da OWASP identifica três causas principais: funcionalidade, permissões ou autonomia além do necessário. Entre as medidas indicadas estão limitar ferramentas, aplicar autorização no sistema downstream, agir no contexto do usuário e exigir aprovação humana antes de operações de alto impacto.

• Evidência: inventário de ferramentas por agente, operações e parâmetros permitidos, matriz de dados acessíveis e justificativa para cada ação autônoma.
• Responsável: proprietário do produto, com revisão de segurança e do responsável pelos dados.
• Bloqueio: rejeitar funções abertas, combinações dispensáveis de leitura sensível com comunicação externa e ações irreversíveis sem aprovação independente.

Agentes que operam interfaces gráficas exigem isolamento adicional antes de receber sessões autenticadas e permissão para clicar; o mesmo limite é tratado ao discutir como isolar o agente antes dos cliques.

3. Monitore comportamento, não apenas erros

Logs restritos a sucesso e falha não mostram se uma execução tecnicamente válida desviou da finalidade autorizada. A telemetria deve correlacionar a identidade do agente, o usuário delegante, o evento iniciador, o modelo e sua versão, as ferramentas chamadas, os recursos consultados, o destino externo, o resultado da política e eventual decisão humana. Segredos e dados pessoais precisam ser mascarados sem eliminar os elementos necessários à auditoria.

Defina uma linha de base por agente e finalidade. Observe frequência e sequência de chamadas, volume de dados, tentativas negadas, destinos novos, custo e duração das tarefas. Se um agente destinado a consultas começa a testar operações de escrita, amplia repentinamente o volume de leitura ou chama um domínio não autorizado, o alerta deve refletir esse desvio, mesmo que nenhuma chamada retorne erro.

• Evidência: evento completo de uma execução de teste, linha de base registrada e alerta entregue ao plantão responsável.
• Responsável: equipes de observabilidade e segurança operacional, enquanto o time do agente define o comportamento esperado.
• Bloqueio: não liberar se uma ação não puder ser atribuída a uma identidade e sessão, se chamadas de ferramentas ficarem fora dos registros ou se alertas críticos não chegarem ao responsável.

4. Automatize a contenção e delimite a decisão humana

Defina a reação antes do primeiro incidente. Violações inequívocas podem acionar respostas automáticas: negar uma chamada proibida, revogar o token da sessão, suspender novas execuções, reduzir a taxa ou colocar a tarefa em quarentena. Cada resposta deve ser auditável, repetível sem efeitos adicionais e limitada ao agente afetado, para que um falso positivo não interrompa todo o ambiente.

Ações cujo impacto depende do contexto devem parar antes da execução. Publicação externa, exclusão, transferência financeira, mudança de permissões, acesso a dados sensíveis ou alteração de produção precisam apresentar ao aprovador a operação exata, o destino, os dados envolvidos e o efeito esperado. A solicitação de aprovação deve ser montada com campos validados da chamada, não apenas com uma descrição livre produzida pelo agente.

• Evidência: matriz de severidade e resposta, teste de revogação, rota de escalonamento e registro de uma aprovação simulada.
• Responsável: equipe de resposta a incidentes, com aprovadores de negócio nomeados para operações de alto impacto.
• Bloqueio: suspender o agente diante de tentativas repetidas de ações negadas, destino não autorizado, desvio relevante da linha de base ou indisponibilidade do mecanismo de aprovação.

O gate final de produção

Faça um ensaio completo com uma tarefa permitida e outra deliberadamente proibida. A primeira deve usar a identidade correta, receber credencial temporária, acessar somente as ferramentas previstas e produzir telemetria correlacionada. A segunda deve ser negada ou encaminhada para aprovação, gerar o alerta esperado e permitir a revogação da sessão.

A decisão final deve reunir quatro artefatos: política de identidade e credenciais, inventário de capacidades, exemplo da trilha de auditoria e matriz de resposta. Se um deles estiver ausente ou se o teste não reproduzir o bloqueio previsto, o agente ainda não cumpre o gate de produção.

Leia também:

• Computer use do Claude saiu do beta — isole o agente antes de liberar cliques
• Aprender prompt não basta: quatro habilidades para trabalhar com agentes de IA
• QueryStory sai do sigilo com IA que mostra como chegou à resposta