A Microsoft publicou nesta segunda-feira, 19 de outubro de 2026, um novo framework de segurança para agentes autônomos de inteligência artificial, baseado em uma premissa que marca uma mudança de paradigma: os próprios agentes que as empresas contratam e implantam podem se tornar riscos de segurança internos. A frase de efeito veio direto da chefe de segurança da empresa, Hayette Gallot, que afirmou sem rodeios: "Modelos frontier, independentemente de sua origem, não podem ser confiáveis."
A declaração não é uma crítica à qualidade dos modelos de inteligência artificial, mas um alerta sobre a natureza fundamentalmente imprevisível de sistemas treinados para atingir objetivos, não para seguir normas organizacionais ou exercício de julgamento contextual. Em outras palavras, um modelo pode fazer exatamente o que foi programado para fazer — e, no entanto, causar um estrago que ninguém antecipo
O framework da Microsoft, chamado Guardian Agents, faz parte do projeto Perception, anunciado originalmente em junho de 2026. Naquela ocasião, o projeto apresentava três classes de agentes: uma "equipe vermelha" que atacava como hackers, uma "equipe azul" que detectava os invasores e avaliava vulnerabilidades, e uma "equipe verde" encarregada de corrigi-las. A abordagem era baseada na suposição de que os ameaçadores viriam de fora da empresa. Mas, segundo o CEO Satya Nadella, o inimigo pode ser o próprio agente que a organização implantou e está pagando.
"Não podemos terceirizar a responsabilidade pelo que a inteligência faz em nosso nome. As garantias de um provedor de modelo não nos libertam dessa responsabilidade", escreveu Nadella em um blog. A solução proposta divide o que fornece inteligência do controle sobre essa inteligência.
O que motiva essa mudança de postura são dados concretos de uso. A empresa já detecta até 60 tipos diferentes de agentes de IA no ambiente de trabalho, incluindo Claude Code, OpenAI Codex, GitHub Copilot e outras ferramentas de desenvolvimento que funcionários podem executar localmente sem passar pelo departamento de TI. Esses agentes têm acesso a sistemas críticos, dados sensíveis e ferramentas operacionais — e, diferentemente de um funcionário humano, operam em velocidade de máquina.
O framework introduz dois conceitos novos. O primeiro são as "permissões dinâmicas", que aplicam o princípio do menor privilégio a agentes autônomos: um agente de aprovação de despesas começa com acesso estritamente delimitado a revisar e aprovar despesas, nada mais. Se o agente tenta realizar uma ação fora dessa tarefa — como acessar o sistema de RH ou modificar credenciais de acesso — as permissões diminuem ou desaparecem instantaneamente. O segundo conceito é o "risco dinâmico do agente", uma pontuação continuamente atualizada que combina sinais de identidade, endpoints, rede, nuvem, runtime e o próprio comportamento do agente para avaliar se o que ele está fazendo corresponde ao que foi autorizado.
Quando o risco aumenta, a resposta é graduada: manter leituras enquanto bloqueia escritas, restringir recursos acessíveis, solicitar aprovação humana para etapas de alto impacto ou interromper a execução completamente. Não é binário. A Microsoft reconhece que, se a resposta é "ligar e desligar", perde-se mais produtividade do que se protege.
A abordagem reflete uma mudança mais ampla na indústria de segurança cibernética. A Gartner estimou que, até 2029, mais de 50% dos ataques bem-sucedidos contra agentes de IA explorarão problemas de controle de acesso, usando injeção de prompt direta ou indireta como vetor de ataque. O que diferencia o novo framework é que ele não pressupõe que o agente é malicioso — pressupõe que ele é imprevisível, e que imprevisibilidade em escala empresarial é tão perigosa quanto maldade intencional.
Um detalhe interessante: a própria Microsoft é membro fundadora da Open Agent Safety Platform, lançada pela Nvidia com o apoio de mais de 100 empresas de tecnologia. A plataforma isola agentes em ambientes seguros e pode monitorar e interromper seu comportamento através de hardware. Ou seja, a própria empresa que está advogando que os agentes não podem ser confiáveis também está investindo em infraestructura que os contém em nível de chip.
O paradoxo mais intrigante do framework, porém, está nos próprios Guardian Agents. Eles são agentes de IA supervisionando outros agentes de IA. Se modelos frontier não podem ser confiáveis, como confiar nos agentes que foram projetados para detectá-los quando falham ou são manipulados? A Microsoft responde que os controles de segurança devem operar fora do modelo de IA e não podem ser alterados por ele. Mas isso levanta uma questão que a indústria ainda não respondeu completamente: quem vigia os vigilantes quando os vigilantes são sistemas probabilísticos que operam em velocidade de máquina?
A resposta da empresa, em tom pragmático, é que "o objetivo não é tornar cada modelo perfeitamente previsível antes que seja útil". O objetivo é construir sistemas que permaneçam seguros mesmo quando o modelo não é. Uma distinção sutil, mas importante: não se trata de eliminar o risco, mas de gerenciá-lo em tempo real.
O que observamos aqui é menos sobre segurança de software tradicional e mais sobre a construção de um sistema de contenção contínua para entidades que aprendem e agem de forma autônoma. A pergunta que fica: será que a tecnologia de contenção consegue acompanhar a evolução dos próprios agentes que precisa controlar?
Fontes: TechCrunch, Security Affairs, TechRadar
✓ Fontes independentes cruzadas e verificadas antes da publicação
