Agentes de IA: a autorização precisa sobreviver a uma decisão ruim do modelo

A Microsoft apresentou recursos para supervisionar agentes empresariais, incluindo Guardian Agents no Project Perception.[5] A proposta passa a observar também agentes autorizados pela própria organização, não apenas ameaças externas.[5] O argumento relatado é separar capacidade de inteligência da autoridade para agir.[5]

Minha leitura é que essa separação vale mais que o nome do produto. Um agente pode elaborar uma ação plausível e ainda assim não ter autorização para executá-la. A arquitetura precisa preservar essa diferença quando o modelo erra, quando a tarefa é ambígua ou quando uma entrada tenta induzir uma operação indevida.

O que muda para quem desenvolve

A reportagem menciona detecção de até 60 tipos de agentes no Microsoft Defender, ajuste de permissões conforme a tarefa e aprovação humana para decisões arriscadas.[5] Também registra o interesse comercial de uma empresa que participa do mercado de IA e vende a camada de supervisão.[5]

Não é necessário aceitar uma promessa de plataforma para adotar o princípio. Recomendo que o modelo produza uma proposta de ação estruturada e que outro componente confira identidade, recurso, operação e limites. A mensagem “não faça isso” no prompt não deveria ser a única barreira entre uma sugestão e uma alteração de estado.

Para uma automação de atendimento, por exemplo, consultar um pedido e autorizar um reembolso podem ser capacidades diferentes. Defina essa separação no contrato das ferramentas, não apenas na descrição do papel do agente.

Como aplicar

Escolha um fluxo de baixo risco e desenhe três camadas: proposta, autorização e execução. Use dados sintéticos e um ambiente sem acesso a informações reais.

Teste solicitações que tentem sair do escopo: alterar outro cliente, exceder um valor permitido, chamar uma operação ausente e executar novamente uma ação já concluída. O resultado esperado é uma recusa explícita da camada de controle, mesmo que o modelo tenha escolhido aquela ação.

Registre a proposta, a decisão de autorização e o resultado da ferramenta com dados sensíveis reduzidos ao necessário. Acrescente um mecanismo de parada que corte a execução sem depender de convencer o agente em outra conversa.

Avalie também a experiência de aprovação. Se tudo exige confirmação, o operador pode acabar aprovando sem ler. Reserve intervenção humana para situações com risco e contexto suficientes para uma decisão real.

Cuidados e limites

A proposta comercial descrita não foi demonstrada como solução universal para segurança de agentes.[5] Minha recomendação é avaliar cobertura por operação: o controle enxerga só a chamada da ferramenta ou também consegue limitar o que ela faz depois?

Supervisionar não elimina o trabalho de definir políticas. Se o agente puder editar suas próprias permissões ou desligar seu monitor, a separação será apenas nominal. O teste decisivo é uma decisão ruim encontrar uma barreira que não depende da boa vontade do modelo.

Fonte

[5] Fonte: TechCrunch. Publicação: 19/10/2026 às 19:04.