Contexto é o novo perímetro: governando agentes de IA com entrega programável de aplicações

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Há um mito persistente e perigoso em AIOps: “O MCP é apenas mais uma API.”

Claro. E SOAP era apenas XML com delírios de grandeza.

Arquiteturas baseadas em agentes, especialmente aquelas desenvolvidas com o Model Context Protocol (MCP), dependem de blocos de contexto explícitos enviados em cada solicitação. Não se trata de intuições neurais nem de “memória do LLM”. É um contexto operacional serializado e estruturado — pense em JSON, não em achismos — transmitido em cada chamada para ajudar os agentes a acompanhar objetivos, funções, políticas e o estado do fluxo de trabalho.

Mas a realidade é esta: o contexto se desvia. E, quando isso acontece, seus agentes não ficam apenas confusos. Eles passam a agir com convicção, mesmo estando errados, tornam-se operacionalmente imprevisíveis ou simplesmente perigosos.

O problema é que as pessoas que já estão testando — e implementando — agentes de IA estão à frente. E estão mesmo. Nossa pesquisa mais recente mostra que 9% já colocaram agentes de IA em produção, 29% têm uma abordagem formalmente definida para avançar e outros 50% estão nos “estágios iniciais”, tentando entender como proceder. Isso deixa apenas 11% que nem sequer estão pensando em agentes de IA.

Eles estão avançando rápido. Mais rápido do que o setor.

Não há ferramentas de conformidade de verdade, nem segurança, nem boas práticas. Praticamente não existem opções para lidar com os riscos de segurança que surgem junto com qualquer nova tecnologia.

Exceto pela programabilidade. É aí que entra a sua plataforma de entrega e segurança de aplicações — não como um canal passivo, mas como uma guardiã programável da higiene cognitiva e da disciplina contextual.

Como o contexto realmente trafega

O contexto não é uma abstração. Ele está bem ali no payload. Uma solicitação MCP do mundo real se parece com isto:

POST /agent/v1/invoke HTTP/1.1

Host: agentmesh.internal

Authorization: Bearer xyz123

Content-Type: application/json

X-MCP-Version: 1.0

{

"context": {

"user": { ... },

"goal": "...",

"prior_messages": [ ... ],

"task_state": { ... },

"security": { ... }

},

"input": { "prompt": "Agora visualize isso com um gráfico rápido." }

}

Esse bloco de contexto não é opcional. Ele é a memória de trabalho do agente. Contém tudo o que o agente “sabe” e todas as suposições com base nas quais ele agirá. Cada etapa o leva adiante: sem compactação, às vezes sem verificação e quase sempre ficando mais desatualizado a cada interação.

Como o contexto se desvia (e por que isso importa)

É essa bagagem que, em última análise, introduz a deriva de contexto. A deriva acontece quando:

• Metas antigas e o estado da tarefa persistem mesmo depois que o usuário já seguiu em frente.
• Mensagens anteriores se acumulam, tornando as solicitações excessivamente grandes e induzindo os agentes ao erro.
• As tags de segurança permanecem onde não deveriam.
• Vários agentes atualizam a mesma conversa sem remover os resíduos acumulados.

Quando o agente nº 4 assume o bastão, ele já está tomando decisões com base em instruções desatualizadas, controles de acesso obsoletos e “objetivos” com os quais ninguém mais se importa. Os agentes não reclamam. Eles simplesmente alucinam com confiança e repassam a bagunça adiante.

Programabilidade: o faxineiro de contexto de que você realmente precisa

Se você ainda considera sua plataforma de entrega de aplicações apenas um balanceador de carga, parabéns. Você está jogando damas enquanto o resto do mundo joga xadrez.

Em arquiteturas agênticas, a entrega programável de aplicações é a única camada que possui:

• Visibilidade total de cada solicitação
• A autoridade para inspecionar, transformar, bloquear ou sanitizar o contexto
• Sem vínculo com a opinião ou a memória de qualquer agente específico

Truncamento de contexto na borda

Não deixe que os agentes carreguem consigo toda a história da humanidade a cada solicitação.

• Reduza prior_messages às últimas N interações.
• Expirar metas automaticamente com base no tempo ou em mudanças de estado.
• Remova task_state quando a intenção mudar de continuation para new-task.

Agora você está impondo limites de memória e higiene cognitiva antes mesmo que o agente processe a entrada.

Classificação e aplicação de políticas

Se o seu bloco de contexto indicar security.classification = confidential mas você estiver prestes a acessar uma API pública de sumarização, será necessário ter um mecanismo programável de fiscalização de políticas na borda para bloquear, ocultar ou mascarar campos sensíveis e validar o escopo de acesso em cada solicitação. Os modelos de linguagem de grande escala (LLMs) não questionarão suas políticas; eles simplesmente vazarão os dados.

Detecção de desvio de intenção

O usuário mudou de “resumir as métricas trimestrais” para “criar uma apresentação de slides”? O contexto precisa ser redefinido, não apenas acumulado. Se a intenção da solicitação mudar, mas o contexto ainda incluir objetivos e estados de tarefa obsoletos, descarte-o e recomece do zero. É assim que você evita que os agentes resolvam o problema de ontem com os dados de hoje.

Telemetria e monitoramento de desvio

Sua camada de entrega de aplicações deve monitorar:

• Tamanhos em tokens dos blocos de contexto ao longo do tempo
• Taxas de crescimento de prior_messages
• Padrões de incompatibilidade entre objetivo e tarefa por agente

É assim que você identifica o inchaço e o desvio de contexto antes que saiam do controle. O monitoramento fornece respostas concretas quando a liderança pergunta por que seus “agentes autônomos” agem como estagiários confiantes demais.

Você precisa de um zelador de contexto, não apenas de um firewall

Os LLMs consumirão de bom grado todo o contexto que você fornecer e farão uma bagunça se você não tomar cuidado. Os agentes não avisarão quando o contexto se desviar, os objetivos ficarem desatualizados ou o histórico de tarefas se tornar nocivo. Sua camada de entrega programável não apenas fará isso, como deverá fazê-lo.

É a única camada neutra, onisciente e capaz de aplicar políticas que resta.

Na era da IA agêntica, sua plataforma de entrega de aplicações não se limita a rotear o tráfego. Ela é seu firewall semântico, seu fiscal de conformidade e sua última grande esperança de impedir que agentes se tornem mentirosos excessivamente confiantes com acesso root.

Porque, se você deixar que o desvio e o inchaço vençam, você perde. E não apenas o controle, mas também a confiança em toda a sua stack de IA.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie