À medida que os agentes de IA evoluem de copilotos para atores autônomos, o setor converge para uma abstração compartilhada: habilidades de agentes.
As habilidades de agentes formalizam aquilo que um agente sabe fazer. Elas reúnem instruções, comportamentos esperados e o uso declarado de ferramentas em artefatos portáteis que podem ser compartilhados, versionados e reutilizados entre diferentes agentes e plataformas. Conceitualmente, desempenham o mesmo papel que os plugins já desempenharam nas IDEs ou que as extensões desempenham nos navegadores.
O que confere verdadeiro peso a esse modelo é o fato de ele não ser mais experimental nem proprietário. Anthropic publicou um padrão aberto de Agent Skills, posicionando as skills como uma camada portátil e interoperável, em vez de uma estrutura específica de um framework. Assim como o MCP padronizou a forma como os agentes se comunicam com as ferramentas, as Agent Skills estão padronizando como os agentes adquirem capacidades.
Isso é importante. Padrões abertos têm poder de atração. Eles atraem ecossistemas, ferramentas, registros e, por fim, a adoção empresarial. Quando os fornecedores se alinham em torno de uma abstração comum, ela deixa de ser uma curiosidade e passa a ser infraestrutura. O lançamento em dezembro de 2025 incluiu skills de parceiros de diversos fornecedores (Atlassian, Figma, Canva, Stripe, Notion e Zapier), demonstrando que o padrão já está ganhando força.
Isso significa que as implicações de segurança já não são mais hipotéticas.
Por que as habilidades dos agentes mudam o modelo de segurança
As habilidades de agentes são intencionalmente leves. Elas foram projetadas para serem legíveis por humanos, fáceis de criar e simples de distribuir. A maioria das implementações usa Markdown para definir o comportamento e YAML para os metadados, pois o objetivo é facilitar o compartilhamento.
Do ponto de vista da produtividade dos desenvolvedores, isso é uma vantagem.
Do ponto de vista da segurança, isso cria um padrão conhecido, porém perigoso: intenção executável fornecida como conteúdo.
As habilidades são carregadas em tempo de execução. Elas operam dentro do ciclo de raciocínio do agente. Podem influenciar o planejamento, a seleção de ferramentas e a ordem de execução. Muitas vezes, são obtidas dinamicamente e combinadas de forma transitiva. Em outras palavras, comportam-se menos como arquivos de configuração e mais como insumos da cadeia de suprimentos.
Fundamentalmente, as skills não impõem nada. Elas apenas declaram o que um agente gostaria de fazer. Elas não restringem o que o agente pode realmente fazer.
Essa distinção faz toda a diferença.
Quando uma habilidade é ativada, os controles tradicionais de “shift left” nos quais os desenvolvedores confiam tornam-se, em grande parte, irrelevantes. Não há pull request para o plano interno de um agente. Não há revisão humana do código antes que uma chamada de ferramenta seja acionada. Não há pausa entre o raciocínio e a execução.
Para agentes, o desenvolvimento acontece em tempo de execução.
A lacuna de aplicação que as habilidades não preenchem
É tentador tratar as habilidades dos agentes como uma camada de segurança. Afinal, elas especificam as ferramentas necessárias e o comportamento esperado. Parece um lugar natural para implementar mecanismos de proteção.
Mas as habilidades estão na camada errada da pilha.
Elas ficam dentro do agente. Elas são interpretadas pelo mesmo modelo que busca otimizar a conclusão e o progresso. Pedir a uma habilidade que imponha a segurança equivale a pedir ao agente que se contenha. Isso nunca funcionou de forma confiável e nunca funcionará.
Mais importante ainda, as skills não têm autoridade. Elas não podem revogar acessos, limitar a execução, inspecionar efeitos colaterais nem impedir a exfiltração de dados. Na melhor das hipóteses, fornecem orientações. Na pior, criam uma falsa sensação de controle.
A segurança não pode se limitar ao nível da descrição da intenção. Ela precisa estar no nível da execução de capacidades. Em termos mais conhecidos, trata-se de controle de acesso e gerenciamento de identidades aplicados a sistemas autônomos. Nossos clientes reconhecem isso como um desafio significativo relacionado à IA agêntica.
Por que a camada de ferramentas é o único limite realmente aplicável
Os agentes não causam danos por pensarem de forma incorreta. Eles causam danos quando o pensamento se transforma em ação no limite da camada de ferramentas.
Toda ação relevante de um agente — desde chamar uma API até escrever código, implantar infraestrutura, consultar um banco de dados ou enviar dados para outro sistema — passa por uma interface de ferramenta. Essa interface é onde a autonomia encontra a realidade. Ela também é o último ponto que um agente não pode contornar, se o sistema for projetado corretamente.
É por isso que um “firewall de ferramentas” surge como o melhor plano de controle para a segurança de agentes.
Um firewall de ferramentas intermedeia cada chamada de ferramenta. Ele fica entre os agentes e os sistemas com os quais eles interagem, aplicando as políticas antes da execução, em vez de realizar auditorias depois que o dano já ocorreu. Ao contrário dos controles no nível do prompt ou dos metadados de habilidades, ele opera fora do ciclo de raciocínio do agente e, portanto, não depende da conformidade do modelo.
Esta é a camada em que a “segurança do MCP” encontra as “proteções de IA”. O MCP define como os agentes se comunicam com as ferramentas. O firewall de ferramentas decide se eles têm permissão para isso e sob quais restrições. Se as ferramentas são o que permite aos agentes aprender “novos truques”, então o firewall de ferramentas é o controle que impede que esses truques coloquem fogo na casa.
Conceitualmente, essa não é uma ideia nova. É o mesmo padrão que fundamenta gateways de API, malhas de serviços e arquiteturas de confiança zero. A novidade é o agente do outro lado da interface.
Na prática, um firewall de ferramentas funciona como intermediário. Os agentes nunca têm acesso direto às credenciais de sistemas externos. Eles solicitam ações. O firewall decide se essas ações são permitidas, sob quais condições e com quais restrições.
Um firewall de ferramentas avalia o contexto de identidade (qual agente, qual habilidade, qual ambiente), inspeciona parâmetros e cargas úteis, aplica políticas como código e emite credenciais de curta duração e com privilégios mínimos somente quando apropriado. Ele observa os resultados, registra a proveniência e fornece uma trilha de auditoria verificável para comportamentos autônomos.
Isso transforma as habilidades no que elas deveriam ser: solicitações de capacidade, e não concessões de autoridade.
Resta ao mercado decidir qual será a forma de um firewall de ferramentas. Mas seu surgimento como parte do conjunto de recursos de segurança para arquiteturas de agentes é inevitável.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
Por que o roteamento de modelos pode se tornar uma infraestrutura de segurança
A IA agêntica expõe os limites da identidade. Modelos especializados, combinados com roteamento baseado em políticas, vinculam a autoridade à escolha do modelo, reduzindo o raio de impacto e a complexidade da governança.
Top 10 em entrega de aplicações de IA: incapacidade de lidar com a latência
A IA transforma a latência em um problema de confiança, não apenas de desempenho: respostas lentas do “assistente” parecem hesitação ou falha, e prompts e respostas com muitos tokens aumentam a carga de trabalho mesmo em sistemas funcionando normalmente.
As 10 principais ameaças à entrega de aplicações de IA: observabilidade incompleta
A IA não escala sozinha. Sem um plano de controle unificado que elimine as barreiras entre ferramentas e responsabilidades, a inferência se torna a camada mais frágil e que mais exige coordenação.
Habilidades de agentes: um padrão aberto emergente
As skills declaram intenção, mas não impõem controle. A segurança de verdade deve estar nos limites das ferramentas, onde os pensamentos dos agentes se transformam em ações e as políticas podem ser aplicadas.
De pacotes a prompts: a inferência adiciona uma nova camada à pilha
Inferência não é treinamento. Não é experimentação. Não é um exercício de ciência de dados. Inferência é um comportamento de execução em produção e funciona como uma camada de aplicação.
A influência da inferência: APIs, DPUs e o caos do contexto
A inferência de IA está remodelando a infraestrutura, multiplicando APIs, sobrecarregando a capacidade computacional e tornando o contexto mais complexo. Saiba por que uma arquitetura mais inteligente e políticas de execução são essenciais.