Agentes de IA precisam de botão de emergência, alerta órgão britânico

O National Cyber Security Centre (NCSC), órgão de segurança cibernética do Reino Unido, publicou em 20 de agosto de 2026 uma orientação provisória para sistemas de inteligência artificial com autonomia significativa. A orientação prática do NCSC recomenda meios externos para interromper imediatamente a atividade do agente, restringir seu acesso à rede e cortar sua comunicação com a infraestrutura de inferência.

Desligar um agente com segurança, portanto, não significa apenas encerrar o processo que executa o modelo. A cobertura da Computer Weekly, publicada em 21 de agosto, confirmou o caráter provisório do alerta e destacou controles que ficam fora do modelo, como sandbox, credenciais limitadas, identidade própria, supervisão e registros detalhados. Na prática, a contenção precisa alcançar credenciais, ferramentas, rede, inferência e execução.

Por que um comando dentro do modelo não basta

O chamado “botão de emergência” não precisa ser um botão físico nem uma única função. Trata-se de um plano de controle separado do ciclo de decisão do agente, sob autoridade de pessoas e sistemas que ele não possa modificar. Proteções incorporadas ao modelo continuam úteis, mas podem ser contornadas ou insuficientes em ambientes de maior risco.

Um agente pode manter sessões autenticadas, chamar ferramentas, colocar tarefas em filas e acionar serviços externos. Encerrar apenas seu processo principal não garante que operações já iniciadas parem, nem revoga os acessos usados por componentes auxiliares. A interrupção precisa cortar as dependências que permitem ao sistema observar, decidir e agir.

Essa separação também permite contenção proporcional. Uma falha limitada a um conector pode ser tratada com o bloqueio da ferramenta e a revogação da credencial correspondente; uma atividade destrutiva ou uma possível exfiltração pode exigir o isolamento simultâneo de rede, inferência e execução.

Cinco camadas formam a arquitetura de interrupção

Para transformar a recomendação em uma arquitetura operacional, os controles podem ser organizados em cinco camadas. Elas não são alternativas: cada uma remove uma capacidade diferente e deve funcionar sem depender da cooperação do agente.

• Credenciais: revogar tokens, chaves de API, concessões OAuth e sessões associadas à identidade própria do agente. Permissões mínimas e credenciais de curta duração reduzem previamente o alcance de uma falha.
• Ferramentas: bloquear conectores, comandos, gravações em repositórios e chamadas a serviços. O bloqueio deve ocorrer no gateway ou na plataforma que disponibiliza a ferramenta, fora do ambiente controlado pelo agente.
• Rede: negar tráfego de entrada e saída ou manter somente conexões indispensáveis. Proxies, regras de firewall e listas de permissões permitem isolar um destino ou todo o ambiente.
• Inferência: interromper a comunicação entre o agente e o serviço que executa o modelo. Sem novas respostas, o ciclo de planejamento deixa de avançar, embora tarefas já enfileiradas ainda precisem ser contidas.
• Execução: suspender filas, processos, contêineres ou máquinas virtuais responsáveis por aplicar comandos. Essa camada impede que ações pendentes continuem alterando sistemas locais.

A ordem de acionamento depende do incidente. O requisito central é que cada bloqueio seja determinístico e verificável: depois do comando, a equipe precisa confirmar que tokens perderam validade, conexões terminaram, ferramentas recusam chamadas e tarefas pararam de executar.

Os registros precisam sobreviver ao desligamento

Uma contenção que apaga a telemetria impede a reconstrução do incidente. Devem permanecer disponíveis os registros das instruções recebidas, ações solicitadas, chamadas de ferramentas, respostas dos serviços, mudanças de permissão e intervenções humanas, além dos logs do sandbox, dos proxies, da rede e do ambiente de execução.

Esses dados precisam ficar protegidos contra modificação ou exclusão pelo sistema monitorado. Como podem conter informações sensíveis, também exigem acesso restrito e uma política de retenção compatível com a investigação. O objetivo é estabelecer uma sequência confiável do que foi tentado, do que realmente ocorreu e do momento em que cada barreira passou a produzir efeito.

O próprio acionamento do mecanismo deve deixar evidências: identidade do operador, horário, justificativa, controles utilizados e confirmação técnica de cada bloqueio. Sem essa confirmação, um painel pode indicar que o agente parou enquanto sessões, filas ou conexões permanecem ativas.

Quem pode desligar o agente fora do expediente

A atividade de agentes deve integrar o monitoramento de segurança e a resposta a incidentes durante as 24 horas do dia. Isso exige definir antes da entrada em produção quem recebe o alerta, quem possui acesso aos controles externos e quem pode decidir entre uma pausa limitada e uma suspensão mais ampla.

Uma divisão operacional possível atribui ao plantonista a contenção inicial; ao responsável pelo serviço, a avaliação de continuidade e recuperação; às equipes de identidade, rede e plataforma, a manutenção dos meios técnicos de bloqueio; e ao líder do incidente, a preservação de evidências e a coordenação das áreas afetadas. A estrutura varia entre organizações, mas a autoridade emergencial não deve depender de uma reunião ou de uma única pessoa.

Os acessos usados para interromper o agente também precisam permanecer separados das credenciais disponíveis para ele. Exercícios controlados podem verificar se tokens são revogados, conexões terminam, tarefas pendentes param e registros continuam acessíveis. Também podem revelar um desenho frágil, como um controle disponível somente pela mesma rede que precisará ser isolada.

A orientação formal ainda está em preparação

O texto britânico não determina uma tecnologia específica nem estabelece um padrão universal de “kill switch”. Os controles devem ser proporcionais à autonomia e ao impacto possível: um sistema que apenas sugere ações não apresenta o mesmo risco de um agente autorizado a acessar produção e tomar decisões sem aprovação humana.

A publicação provisória deverá ser substituída por uma orientação formal desenvolvida com parceiros, sem prazo divulgado até 28 de agosto. Enquanto esse trabalho avança, o estado da recomendação é claro: organizações que colocam agentes autônomos em produção precisam limitar seu alcance, observar suas ações e manter múltiplos meios externos para interrompê-los.