Empresas estão entregando e-mail, arquivos, sistemas e terminais a agentes de IA, mas muitas ainda controlam apenas identidades humanas. A nova arquitetura de segurança precisa tratar cada agente como uma identidade com permissões mínimas, registros e limites próprios.
A Microsoft afirma que abordagens criadas para um mundo de operadores humanos não acompanham ataques e defesas em velocidade de máquina. O alerta vai além de comprar uma ferramenta nova: a empresa precisa saber qual agente agiu, em nome de quem, com quais dados e até onde poderia ir.
Neste artigo
Segurança de agentes de IA em resumo
| Risco | Controle recomendado |
|---|---|
| Agente usando a conta de um funcionário | Identidade própria e rastreável |
| Acesso excessivo | Menor privilégio e escopo por tarefa |
| Ação irreversível | Aprovação humana antes de excluir, pagar ou publicar |
| Prompt malicioso em documento | Tratar conteúdo externo como dado, não como ordem |
| Automação em loop | Limites de tempo, custo, chamadas e volume |
| Incidente sem explicação | Logs de ferramenta, contexto, usuário e resultado |
O que mudou na segurança empresarial
Um chatbot tradicional responde e espera a próxima pergunta. Um agente pode consultar documentos, abrir páginas, escrever código, enviar mensagens e repetir etapas até concluir uma meta. Essa autonomia transforma uma resposta errada em uma possível ação errada.
A superfície de ataque também cresce. Um texto escondido em uma página, e-mail ou PDF pode tentar desviar as instruções do agente. Credenciais presentes no ambiente podem ser utilizadas. Uma integração legítima pode fornecer acesso a dados que o usuário nem sabia que estavam disponíveis.
Casos recentes envolvendo ambientes de teste da OpenAI e da Anthropic mostram que prompts de segurança não substituem bloqueios externos. Quando a IA recebe ferramentas poderosas, a proteção precisa existir fora do modelo.
Por que cada agente de IA precisa de identidade
Compartilhar a conta de um funcionário com um agente parece simples, mas destrói a rastreabilidade. Nos registros, não fica claro se determinada ação foi executada pela pessoa, por uma automação autorizada ou por uma instrução maliciosa encontrada durante o trabalho.
A segurança de agentes de IA começa com uma identidade separada para cada finalidade. O agente de atendimento deve enxergar apenas os dados necessários para responder clientes. O agente financeiro pode preparar uma conciliação, mas não aprovar o próprio pagamento. O agente de desenvolvimento pode abrir uma proposta de alteração sem publicar diretamente em produção.
Os controles que não podem faltar
- Identidade individual: nunca use uma conta administrativa compartilhada.
- Escopo mínimo: libere somente pastas, APIs e comandos necessários.
- Credenciais temporárias: prefira tokens de curta duração e fáceis de revogar.
- Separação de funções: o agente que cria não deve aprovar a mesma operação.
- Aprovação para alto impacto: pagamentos, exclusões, publicações, alterações de acesso e produção exigem confirmação.
- Lista de destinos: bloqueie conexões que não fazem parte do fluxo autorizado.
- Limites operacionais: defina máximo de arquivos, mensagens, custo e tempo de execução.
- Registro completo: guarde instruções, ferramentas chamadas, respostas, erros e identidade responsável.
- Recuperação: use versionamento, lixeira, backup e possibilidade de desfazer.
- Teste adversarial: exponha o agente a documentos e páginas que tentem manipulá-lo antes de liberar o uso real.
O guia IA na empresa: o que um iniciante precisa saber ajuda a escolher ferramentas. Este artigo trata da etapa seguinte: transformar um teste útil em um processo que não dependa de confiança cega.
A proposta da Microsoft para a segurança de agentes de IA
A Microsoft apresentou uma visão em que sistemas defensivos percebem sinais continuamente, relacionam contexto e agem em velocidade de máquina, mantendo pessoas no controle. O Project Perception coordena agentes de três tipos: red teams procuram caminhos de ataque, blue teams investigam e priorizam riscos, e green teams aplicam correções.
O ChamadoTI detalhou essa tecnologia em Microsoft Project Perception: a IA que quer enfrentar hackers na velocidade das máquinas. Para uma empresa que ainda não adotará o produto, a lição é arquitetural: observar, raciocinar, agir, registrar e melhorar continuamente.
A Microsoft também defende uma arquitetura com modelos diferentes para tarefas diferentes. Isso pode reduzir custo e exposição: nem toda triagem precisa do modelo mais poderoso, mais caro e com maior alcance.
Plano prático para começar
- Semana 1: inventarie agentes, integrações, contas e dados acessados.
- Semana 2: elimine credenciais compartilhadas e reduza permissões.
- Semana 3: adicione aprovações humanas, limites e logs.
- Semana 4: simule erros, instruções maliciosas e indisponibilidade de serviços.
Comece pelo agente com menor impacto e resultado fácil de medir. Resumir documentos internos aprovados é um piloto mais seguro que permitir alterações autônomas em produção. A maturidade deve crescer junto com a autonomia.
Perguntas frequentes
Agente de IA deve usar a conta do funcionário?
Não é o ideal. Uma identidade própria facilita limitar permissões, auditar ações e revogar acesso sem bloquear a pessoa.
A aprovação humana elimina todo risco?
Não. Pessoas podem aprovar rapidamente sem entender a ação. A tela de confirmação precisa mostrar destino, dados envolvidos, consequência e possibilidade de desfazer.
O que é injeção de prompt?
É uma tentativa de colocar instruções maliciosas em dados que o agente lê, como uma página ou documento, para fazê-lo ignorar a tarefa original ou revelar informações.
Qual processo não deve ser o primeiro piloto?
Evite começar por pagamentos, demissões, decisões legais, alterações em produção ou exclusão de dados. Escolha uma tarefa reversível e de baixo impacto.
Fontes e metodologia
Informações verificadas em 31 de julho de 2026. A análise combina a visão divulgada pela Microsoft com princípios de menor privilégio, separação de funções e defesa em profundidade. Não foram incluídas instruções operacionais de ataque.
- Microsoft — Rethinking security for the age of AI.
- CISA — Secure by Design.
- OWASP — Top 10 for LLM Applications.
Imagem destacada: ilustração editorial original criada com inteligência artificial para o ChamadoTI.
