Muitas pessoas não estão levando as implicações da IA agêntica até as últimas consequências. Precisamos fazer isso, especialmente quando se trata de segurança, mesmo que abale nossos alicerces.
Spoiler: vai abalar.
Por exemplo, o OWASP Agentic Top 10 acerta na premissa: agentes amplificam vulnerabilidades existentes. Suas APIs não ficaram seguras de repente só porque você colocou um LLM na frente delas. Na verdade, elas estão mais expostas agora que algo está continuamente sondando, encadeando ações e explorando caminhos como um invasor muito paciente. A lista também destaca corretamente a execução em várias etapas, o encadeamento de ferramentas e como as decisões evoluem ao longo do tempo.
Mas ela não chega a abordar a questão mais profunda que precisamos enfrentar.
Acertos e erros
A lista da OWASP observa que os agentes não criam modos de falha totalmente novos; eles tornam os antigos mais perigosos. O uso indevido de ferramentas, a herança de privilégios entre etapas e o sequestro de objetivos são riscos reais que se manifestam ao longo de sequências, e não em prompts ou solicitações isoladas. A OWASP compreende a natureza dinâmica dos sistemas agênticos. Tudo isso é verdade.
Mas as orientações ainda operam, em grande parte, dentro do modelo tradicional de solicitação-resposta. Elas pressupõem que a solicitação seja a principal unidade de controle: validar a identidade, verificar as permissões, inspecionar e decidir. Esse modelo funcionava quando os fluxos de trabalho eram predefinidos e delimitados pelo design da aplicação.
Sistemas agênticos rompem com essa premissa.
Eles constroem fluxos em tempo de execução para alcançar um objetivo. Avaliam os resultados, adaptam-se, iteram e ampliam o escopo. Cada solicitação individual pode ser perfeitamente válida — a identidade está correta, as permissões são compatíveis e a política é atendida —, mas o comportamento geral ainda pode se desviar muito do que se pretendia.
É daí que vem nossa sensação de perda de controle. Não é que a identidade esteja falhando. A autenticação continua robusta. A propagação e a delegação de credenciais funcionam conforme o esperado. Os agentes operam com identidade própria ou com credenciais delegadas, e os tokens fluem de forma confiável entre os serviços.
O problema está em outro lugar. O controle de acesso tradicional se apoiava em um fundamento implícito: fluxos delimitados. As aplicações definiam as sequências de ações. Mesmo com lógica de ramificação, o próprio sistema limitava o que poderia acontecer. Essa estrutura nos permitia avaliar as solicitações isoladamente, pois os caminhos disponíveis eram limitados. Nossas políticas se baseiam nesse entendimento, e nossos mecanismos de aplicação servem justamente para impor esses limites.
Mas os agentes substituem fluxos predefinidos por fluxos emergentes. O comportamento se desenvolve dinamicamente, muitas vezes combinando chamadas de API isoladas com sessões de longa duração e interações por streaming. Um agente pode explorar um conjunto de dados, acumular contexto ao longo do tempo e, em seguida, realizar operações de escrita que ninguém previu. Loops descontrolados, picos inesperados de custos e ações surpreendentes entre sistemas não são falhas de identidade nem de solicitações individuais; são o resultado de ações válidas combinadas em sequências não intencionais.
Por definição, eles não têm limites, mas são restringidos por sistemas de segurança que pressupõem que ainda operam sob as mesmas limitações das aplicações tradicionais.
A travessia de diretórios é um exemplo claro. Há muito tempo tratamos a manipulação de caminhos como maliciosa e a bloqueamos. E é assim que deve ser, pois temos um conjunto bem definido de caminhos esperados, e qualquer desvio desse conjunto deve ser considerado suspeito.
Mas, para um agente encarregado de recuperar documentos ou reunir contexto a partir de um sistema de arquivos, navegar pela estrutura não é algo suspeito. Pelo contrário, é necessário. Bloqueie essa navegação por completo, e o agente se tornará inútil. Permita-a sem limites, e você entregará as chaves do reino a um explorador agressivo.
O verdadeiro problema não é a navegação. É a navegação sem limites pela estrutura. O mesmo padrão aparece no uso indevido de ferramentas, no sequestro de objetivos e no envenenamento da memória: o risco se acumula ao longo de sequências, não de forma isolada.
A mudança necessária: da validação de solicitações à governança comportamental
A identidade continua sendo necessária para autenticação e atribuição, mas não é suficiente para controlar o comportamento ao longo do tempo. Os modelos baseados em funções e escopos pressupõem padrões previsíveis e interações delimitadas. Em ambientes agênticos, nos quais a execução abrange modelos baseados em solicitações e em sessões, eles oferecem apenas um controle pouco granular.
Precisamos transformar o controle de acesso em governança comportamental. Isso significa avaliar as solicitações considerando todo o contexto: o que já ocorreu, como o comportamento está evoluindo e como as ações se estendem por diferentes protocolos. A aplicação das políticas deve se tornar contínua e sensível aos protocolos, acompanhando o acúmulo de ações em chamadas isoladas e sessões persistentes.
A solução é uma política baseada em restrições. Em vez de prescrever caminhos exatos, defina o espaço operacional:
- Limites de recursos (leia estes conjuntos de dados, mas nunca grave no ambiente de produção)
- Limites quantitativos (restrições sobre ações, custos ou ampliação do escopo)
- Restrições de capacidade (é necessária aprovação adicional antes de ações destrutivas)
- Políticas condicionais que se tornam mais rigorosas à medida que o risco aumenta
Essas restrições se aplicam a toda a sequência, seja ela realizada por solicitações HTTP ou fluxos WebSocket. Camadas arquiteturais compartilhadas, como gateways de API, malhas de serviços e plataformas de orquestração, tornam-se essenciais. Elas oferecem o ponto de observação necessário para monitorar, correlacionar e intervir à medida que o comportamento se desenrola, propagando o contexto de execução juntamente com a identidade.
O próprio roteamento se transforma em um mecanismo de controle: redirecionar para ambientes restritos, limitar a taxa ou encerrar sequências que se aproximem dos limites definidos. A aplicação das regras passa a ser gradual, em vez de binária, moldando o comportamento sem interromper imediatamente o trabalho útil.
A entrega e a segurança de aplicações devem trabalhar em conjunto para alcançar esses objetivos, coordenando-se e comunicando-se por meio de um plano de controle compartilhado para garantir que o comportamento seja delimitado por políticas, e não por fluxos de trabalho predefinidos.
Essa mudança não exige prever todos os caminhos possíveis. Ela exige o refinamento contínuo das restrições com base no comportamento observado, criando um ciclo de feedback entre as operações e as políticas.
A mudança que precisamos fazer
A IA não apenas introduz novos riscos. Ela nos força a repensar como aplicamos os controles que já temos. Sem essa evolução, continuaremos oscilando entre sistemas tecnicamente seguros, mas praticamente inutilizáveis, e sistemas altamente capazes, mas que silenciosamente fogem ao controle.
A unidade de segurança não é mais a solicitação, mas sim o comportamento.
A questão já não é simplesmente se uma solicitação é permitida, mas se o comportamento que ela representa deve ter permissão para continuar.
Essa é a mudança para a segurança agêntica que precisamos fazer.
Sobre o autor
Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.
Mais publicações de Lori Mac VittiePublicações relacionadas no blog
Por que o roteamento de modelos pode se tornar uma infraestrutura de segurança
A IA agêntica expõe os limites da identidade. Modelos especializados, combinados com roteamento baseado em políticas, vinculam a autoridade à escolha do modelo, reduzindo o raio de impacto e a complexidade da governança.
Top 10 em entrega de aplicações de IA: incapacidade de lidar com a latência
A IA transforma a latência em um problema de confiança, não apenas de desempenho: respostas lentas do “assistente” parecem hesitação ou falha, e prompts e respostas com muitos tokens aumentam a carga de trabalho mesmo em sistemas funcionando normalmente.
As 10 principais ameaças à entrega de aplicações de IA: observabilidade incompleta
A IA não escala sozinha. Sem um plano de controle unificado que elimine as barreiras entre ferramentas e responsabilidades, a inferência se torna a camada mais frágil e que mais exige coordenação.
Habilidades de agentes: um padrão aberto emergente
As skills declaram intenção, mas não impõem controle. A segurança de verdade deve estar nos limites das ferramentas, onde os pensamentos dos agentes se transformam em ações e as políticas podem ser aplicadas.
De pacotes a prompts: a inferência adiciona uma nova camada à pilha
Inferência não é treinamento. Não é experimentação. Não é um exercício de ciência de dados. Inferência é um comportamento de execução em produção e funciona como uma camada de aplicação.
A influência da inferência: APIs, DPUs e o caos do contexto
A inferência de IA está remodelando a infraestrutura, multiplicando APIs, sobrecarregando a capacidade computacional e tornando o contexto mais complexo. Saiba por que uma arquitetura mais inteligente e políticas de execução são essenciais.