Seu agente de IA tem crachá?

Quando alguém novo entra em uma empresa, recebe um login, acesso às pastas da própria área, um gestor responsável e, com sorte, alguém que explica o que pode e o que não pode ser feito nas primeiras semanas. Ninguém entrega a senha do sistema financeiro para quem chegou ontem.

Com agentes de IA, muitas empresas fazem o caminho inverso: o agente é conectado ao e-mail, ao drive e ao CRM, recebe uma chave de API com permissão ampla e começa a trabalhar sem que ninguém saiba exatamente o que ele pode acessar, quem autorizou aquilo e como desligá-lo se algo der errado.

Durante um tempo, isso parecia um problema pequeno, entretanto, uma divulgação recente da OpenAI mostra por que deixou de ser.

O que a OpenAI decidiu tornar público

Em setembro, a OpenAI apresentou um novo referencial para acompanhar, investigar e divulgar casos de desalinhamento em seus modelos, junto com seis relatórios sobre comportamentos inesperados ou preocupantes observados nos últimos meses. Um detalhe importante: os seis casos aconteceram durante treinamento ou avaliação, e não em produtos que as pessoas usam hoje. Mesmo assim, os exemplos chamam atenção. Um dos modelos escreveu para si mesmo um lembrete para esconder os próprios erros. Entre os casos divulgados, há também modelos usando chaves de API vazadas e agentes que colocaram arquivos em serviços de hospedagem públicos. A própria empresa reconhece que ainda não existe um referencial para todo o setor com padrões explícitos sobre como divulgar esse tipo de ocorrência.

Para quem está fora de um laboratório de IA, a leitura mais útil é outra. Os comportamentos descritos, como esconder falhas, usar credenciais sem autorização e enviar arquivos por canais não previstos, são justamente os riscos que uma empresa assume quando conecta um agente aos próprios sistemas.

Quando a IA deixa de responder e passa a agir

Enquanto a IA apenas responde perguntas e ajuda a escrever textos, o risco é relativamente contido. O cuidado principal está no que as pessoas colam na conversa: senhas, dados de clientes, informações estratégicas.

O cenário muda quando o agente passa a ler arquivos, consultar sistemas e usar APIs. E muda de novo quando ele começa a executar ações sozinho, enviando e-mails, alterando cadastros, fazendo compras ou excluindo registros. A cada degrau, a IA fica mais útil e o erro fica mais caro.

Por isso, a proteção precisa acompanhar a autonomia. Um assistente de consulta exige poucos cuidados. Um agente autônomo exige todos.

Quanta autonomia dar em cada tarefa

Uma regra simples ajuda a organizar essa decisão: quanto maior o impacto de uma ação e menor a chance de desfazê-la, menor deve ser a autonomia da IA.

Resumir uma reunião, rascunhar um e-mail ou organizar arquivos em uma pasta de trabalho são tarefas de baixo impacto e fáceis de corrigir. Se a IA errar, alguém percebe e ajusta em minutos. Aqui, faz sentido deixar o agente trabalhar sozinho.

Ajustar preços no sistema, otimizar campanhas de anúncios ou atualizar dados de clientes no CRM têm impacto maior, mas ainda podem ser revertidos. A IA pode executar, desde que alguém revise o resultado antes que ele produza efeito. E essa revisão precisa ser feita por uma pessoa: se a própria IA for a única responsável por validar o que fez, o modelo que anotou para si mesmo que deveria esconder os erros deixa de parecer um caso de laboratório.

Há também tarefas de impacto baixo, porém difíceis de desfazer, como enviar lembretes internos à equipe ou publicar respostas padrão no atendimento. Nesses casos, o agente pode agir dentro de regras claras e com registro de tudo o que fez.

Por fim, existe o grupo em que a decisão precisa continuar com uma pessoa: pagamentos e transferências, envio de dados a terceiros, exclusão definitiva de registros e mudanças em acessos e permissões. A IA pode preparar tudo, mas quem autoriza é alguém com nome e responsabilidade.

Cada agente é uma nova identidade digital

Voltando ao crachá, a forma mais prática de pensar a segurança dos agentes é tratá-los como novos integrantes da equipe, com acessos definidos, limites claros e alguém responsável por eles.

Na prática, isso passa por seis cuidados. O agente deve ter apenas o acesso necessário para a tarefa, de preferência com uma conta própria e escopo restrito. Senhas, tokens e chaves de API precisam ficar guardados em um cofre, com troca periódica, e nunca devem ser colados em conversas com IA. A empresa precisa deixar claro quais dados não podem sair, nem mesmo por meio de uma ferramenta de IA. Cada ação do agente deve deixar registro do que foi acessado, alterado e quando. Operações críticas passam por aprovação humana. E deve existir uma forma simples e testada de suspender o agente e revogar suas credenciais.

Nenhum desses cuidados é novo para quem trabalha com segurança da informação. A novidade está em aplicá-los a algo que ainda não aparece no organograma.

Uma boa forma de começar é reunir liderança e time técnico em torno de algumas perguntas. Sabemos quem autorizou cada acesso dos nossos agentes? Se um agente errasse hoje, conseguiríamos reconstruir o que ele fez? Quem pode desligar um agente, e essa pessoa sabe disso? Conseguimos revogar todos os acessos em minutos? Se alguma resposta for "não sei", o ponto de partida já está definido.

De volta ao primeiro dia

As empresas levaram anos para construir seus processos de integração de pessoas: crachá, acessos por área, gestor responsável e desligamento com senhas revogadas no mesmo dia. Esses processos existem porque confiança se constrói aos poucos e porque erros acontecem.

Com agentes de IA, a lógica é a mesma. A diferença é que eles trabalham mais rápido, em vários sistemas ao mesmo tempo e sem pausa para o café.

Antes de conectar o próximo agente, vale perguntar se ele já tem crachá.