O que muda quando a IA age
Um modelo que responde perguntas erra em texto. Um agente que executa ações erra em produção. A diferença não é de grau: ele abre chamado, altera registro, dispara e-mail, roda comando e chama API com credencial própria.
Isso desloca o problema de segurança de conteúdo para segurança de acesso. A pergunta deixa de ser "o que ele pode dizer" e passa a ser "o que ele pode fazer, com qual credencial, sobre qual dado".
Identidade é o problema central
Agente precisa de identidade própria, com permissão mínima e ciclo de vida. Na prática, a maioria roda com a credencial de um humano ou com uma chave de serviço herdada de outra integração, com escopo muito maior do que a tarefa exige.
Quando isso acontece, três coisas se perdem de uma vez. A trilha de auditoria não distingue o que o agente fez do que a pessoa fez. A revogação vira tudo ou nada. E o raio de alcance de um comprometimento passa a ser o do humano, não o da tarefa.
Controles que importam
Escopo por tarefa, não por agente. Um agente que resume tíquete não precisa de permissão de escrita.
Aprovação humana para ação irreversível. Apagar, transferir, publicar e conceder acesso são categorias em que a confirmação vale o atrito.
Registro do raciocínio, não só do resultado. Sem a cadeia de decisão não dá para investigar o erro depois.
E limite de encadeamento. Agente que chama agente multiplica o alcance sem multiplicar a supervisão.
A superfície que o agente cria
Todo agente em produção adiciona endpoint, chave e integração. Isso é ativo novo, e ativo novo entra na superfície externa como qualquer outro. Com uma agravante: quem publica costuma não ser o time de segurança. É o mesmo padrão do shadow AI, com permissão de escrita.