Em 19 de outubro de 2026, a Microsoft publicou no seu blog de segurança um texto com uma afirmação direta no título: agentes de IA são os seus mais novos insiders. O artigo, assinado por Nadim Abdo, vice-presidente corporativo de Identity and Network Access, não fala de ataque externo nem de malware. Fala do que acontece quando um software com autonomia recebe acesso ao ambiente da empresa e começa a agir em nome de alguém.
Para uma consultoria, isso não é assunto de 2028. Os agentes já estão na rotina: resumindo documentos de cliente, cruzando planilhas, redigindo minutas, lendo pastas inteiras do SharePoint. O que normalmente falta é a decisão de quem responde por cada um deles.
O que a Microsoft colocou na mesa
O raciocínio do texto gira em torno de uma separação. Nas palavras do próprio artigo, é preciso separar o fornecimento de inteligência da autoridade sobre ela — ou seja, o modelo não decide o que pode fazer. Outra frase resume a consequência prática: o modelo não pode ser sua própria fronteira de segurança. Os controles precisam ficar fora dele, onde o agente não consegue contorná-los.
A recomendação que abre a lista da Microsoft também é a mais prosaica: inventariar todos os agentes, inclusive os instalados localmente. Nesse mesmo anúncio, a empresa informou que passou a reconhecer 60 tipos de agentes locais na descoberta do ambiente, entre eles ferramentas de desenvolvimento que o profissional instala no próprio computador. A leitura por trás do número é simples: muitos desses agentes entram pela porta do usuário, não pela porta da TI.
Por que a consultoria entra nessa conta antes das outras empresas
O trabalho de consultoria é feito sobre material de terceiros. Diligência, dados financeiros do cliente, contratos, atas, planilhas de projeção, políticas internas que o cliente não quer ver circulando. O profissional não guarda isso em um cofre separado: guarda nas mesmas pastas em que trabalha todos os dias.
Quando um agente recebe permissão para ler os arquivos do usuário, ele não recebe permissão para ler a pasta de um projeto. Recebe o que o usuário tem. Numa consultoria, o que o usuário tem normalmente inclui material de vários clientes ao mesmo tempo — inclusive de clientes que competem entre si.
Esse é o ponto cego que a adoção rápida de IA cria. O problema raramente é um agente mal-intencionado. É um agente bem-intencionado com acesso excessivo, operando em velocidade de máquina sobre uma base de dados que ninguém segmentou. É uma variação do que já tratamos ao falar de Shadow AI, agora com um agravante: o agente não apenas lê, ele age.
O risco não é o agente errar, é ele herdar acesso
A Microsoft pede que se parta de uma premissa desconfortável: assuma que um agente pode falhar ou ser comprometido. Falha, aqui, não significa necessariamente invasão. Pode ser instrução ambígua, pode ser conteúdo malicioso dentro de um documento que o agente leu, pode ser uma automação que repetiu a mesma ação mil vezes antes de alguém perceber.
Em qualquer desses cenários, o dano é proporcional ao acesso. Um agente com permissão de leitura em uma pasta específica erra pequeno. Um agente com o acesso integral de um sócio erra no tamanho do escritório. E a diferença entre os dois cenários não está no modelo de IA: está na configuração de identidade e permissão, que é trabalho de TI.
Identidade própria: o que isso significa na prática
A resposta da Microsoft tem nome de produto, mas a ideia vale com qualquer fornecedor. Na documentação do Microsoft Entra Agent ID, uma identidade de agente é descrita como um tipo especial de service principal no Entra ID, com uma característica importante: ela não tem credenciais próprias. O agente autentica por meio de uma credencial federada emitida por um modelo chamado blueprint, e é o blueprint que guarda as credenciais.
Três consequências práticas interessam a quem administra o ambiente:
- Rastreabilidade. O agente tem um identificador distinto do usuário. Dá para diferenciar, no registro de acesso, o que a pessoa fez do que o agente fez por ela.
- Responsável humano. A identidade de agente pode registrar um sponsor, definido na documentação como o usuário ou grupo responsável por aquele agente, inclusive para ser acionado em caso de incidente de segurança.
- Controle em lote. Como todos os agentes de um mesmo tipo herdam do mesmo blueprint, o administrador pode aplicar uma política de Acesso Condicional a todos eles, desativar todos de uma vez ou revogar uma permissão concedida ao conjunto.
Esse último item é o que muda a conversa em uma crise. Sem identidade própria, desligar um agente significa desligar a conta de quem o usa.
Inventário antes de política
Nenhuma dessas configurações ajuda se a consultoria não sabe o que está rodando. O inventário costuma revelar três grupos distintos:
- Agentes corporativos, contratados e configurados pela empresa, geralmente dentro do Microsoft 365. São os mais fáceis de governar e normalmente os únicos que aparecem quando alguém pergunta "que IA a gente usa?".
- Agentes locais, instalados pelo próprio profissional no computador de trabalho. Rodam com o perfil do usuário, muitas vezes com alcance sobre todo o disco e sobre credenciais já salvas.
- Agentes embutidos em sistemas de terceiros, que chegam ativados por padrão em uma atualização de um sistema que a consultoria já usava. Ninguém decidiu adotá-los.
O terceiro grupo é o que mais escapa, porque não exige instalação e não gera nota fiscal. Vale incluir essa verificação no mesmo ciclo em que a equipe revisa atualizações e correções, assunto que tratamos ao falar de prioridade de correções na TI da consultoria.
Permissão mínima, com escopo e prazo
A Microsoft recomenda começar sem permissão nenhuma e conceder apenas o necessário para a tarefa, com validade temporal. A ideia não é nova: é o princípio do menor privilégio, que o NIST formalizou na publicação SP 800-207, sobre arquitetura Zero Trust, em que cada solicitação de acesso é avaliada individualmente em vez de herdada da rede.
Aplicado a uma consultoria, o desenho costuma ficar assim:
- Um agente por finalidade, não um agente para tudo.
- Acesso por pasta de projeto ou por site do SharePoint, não por conta de usuário.
- Permissão de escrita concedida separadamente da de leitura, e só onde for necessária.
- Prazo de validade na concessão, revisto no fim do projeto — e não apenas quando alguém lembrar.
- Aprovação humana obrigatória para ações de impacto, como envio de e-mail externo, exclusão de arquivos e alteração de permissões.
- Registro de qual agente acessou qual dado, com retenção definida.
Esse último item é o que sustenta a conversa com o cliente depois. Em diligências, é cada vez mais comum a pergunta sobre quem — ou o que — teve acesso ao material entregue.
LGPD e sigilo: o registro deixou de ser opcional
A LGPD não trata de agentes de IA, mas trata de duas coisas que incidem diretamente sobre eles. O artigo 37 determina que controlador e operador mantenham registro das operações de tratamento de dados pessoais que realizarem. O artigo 46 exige a adoção de medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados.
Um agente que lê pastas de cliente realiza operação de tratamento. Se o acesso dele não é distinguível do acesso do funcionário, a consultoria perde a capacidade de demonstrar qualquer das duas exigências. Não é uma discussão sobre IA: é o mesmo controle de identidade e registro que já se espera de qualquer sistema com acesso a dado sensível, somado às boas práticas de backup e retenção que permitem reconstituir o que foi alterado.
Vale lembrar também que o acesso indevido nem sempre vem de um agente legítimo. Instaladores falsos e ferramentas de acesso remoto continuam sendo um vetor ativo, como detalhamos ao tratar de instaladores falsos no ambiente da consultoria. Um inventário de agentes feito direito acaba revelando os dois tipos de problema.
Por onde a Diversa começa esse trabalho
Em TI para consultorias, tratamos governança de agentes como extensão da gestão de identidades, não como projeto separado de IA. Na prática, isso significa levantar o que já roda no ambiente, dar identidade própria ao que permanece, reduzir permissão ao escopo da tarefa e ligar o registro de acesso ao monitoramento que já existe.
A Diversa atua há mais de 20 anos no Rio de Janeiro, é parceira Microsoft e Acronis Platinum, monitora mais de 2.500 dispositivos e opera com SLA de 99,8%, com primeira resposta humana em menos de 30 minutos para incidentes críticos. Para a consultoria, o ganho prático de um suporte de TI para consultorias estruturado é poder adotar automação com IA sem abrir mão de saber quem fez o quê — tema que já abordamos em automação e IA na empresa e nas funções de segurança do Microsoft 365.
Fontes
- Microsoft Security Blog, Agents are your newest insiders. Security must move at their speed., 19/10/2026.
- Microsoft Learn, Agent identities no Microsoft Entra Agent ID.
- NIST, SP 800-207: Zero Trust Architecture.
- Presidência da República, Lei 13.709/2018 (LGPD).