Os agentes estão rapidamente se tornando parte da forma como o trabalho é realizado. Eles podem apoiar uma série de atividades, desde escrever código e pesquisar produtos até analisar receita, processar despesas e atuar nos sistemas que operam os negócios. Para conseguirem ser mais úteis, muitas vezes precisam de acesso a dados, aplicativos, ferramentas e outros agentes da empresa. É esse acesso que torna os agentes mais capazes, mas que também pode trazer riscos internos. 

Isso não significa que os agentes sejam inerentemente maliciosos. Significa que são ferramentas capazes às quais os usuários podem conceder acesso a sistemas importantes. Eles podem cometer erros, ser manipulados ou comprometidos. Seus modelos podem produzir resultados variáveis, seu contexto pode mudar e seus planos podem evoluir à medida que trabalham. Um agente que opera conforme o esperado no início de uma tarefa pode responder de forma diferente conforme o contexto ou os dados de entrada mudam. Dependendo de como são projetados e implantados, os agentes podem operar continuamente, na velocidade e na escala das máquinas. 

Satya Nadella, CEO da Microsoft, descreveu recentemente a arquitetura de confiança que esta nova era exige: precisamos separar o fornecimento de inteligência da autoridade sobre ela. Não devemos pedir que um modelo seja sua própria autoridade de segurança. Os controles que determinam o que ele pode acessar, quais ações pode realizar e se deve continuar operando precisam estar fora do modelo, onde ele não possa ignorá-los nem adulterá-los. 

“O sistema agêntico mais confiável não será aquele com o modelo em que mais confiamos. Será aquele projetado de modo que possamos confiar o mínimo possível no modelo.”

Satya Nadella

Project Perception — Protegendo seu insider agêntico

Apresentamos o Project Perception e a arquitetura de cibersegurança da Microsoft para ajudar as organizações a se defenderem com o uso de agentes. Hoje, estamos ampliando o Perception para proteger também os agentes que atuam dentro das organizações. Os Guardian Agents ajudam as equipes de segurança a operar continuamente, com velocidade e escala de máquina, enquanto sensores, contexto e mecanismos de ação presentes em toda a arquitetura de cibersegurança ajudam a compreender as mudanças nos riscos associados aos agentes e a adaptar continuamente a proteção em resposta. O Project Perception e o Microsoft Agent 365 compartilham sinais, contexto e contam com um registro unificado, oferecendo às equipes de TI e segurança uma visão consistente dos agentes e dos riscos, com os controles de que cada uma precisa.

Isso se baseia em um princípio simples de segurança: cercar a inteligência não determinística com controles determinísticos, evidências independentes e limites de contenção. Partir do pressuposto de que um agente pode falhar ou ser comprometido. Observar continuamente. Minimizar e adaptar a autoridade dele antes que ele aja. E ajustar continuamente essa autoridade à medida que o risco muda.

Isso exige proteção em identidade, permissões, dados, endpoints, rede, nuvem e ambiente de execução. O sistema tem quatro responsabilidades contínuas:

• Conhecer quais agentes existem, quem é responsável por eles, por que existem e o que estão fazendo.
• Conter o que cada agente pode acessar e fazer antes de agir.
• Proteger os dados, as ferramentas, o ambiente de execução, os recursos e os sistemas no caminho do agente.
• Adaptar continuamente a proteção à medida que o comportamento, o contexto e o risco mudam.

Esses não são quatro produtos nem fases sequenciais. Eles operam em conjunto. As evidências mudam o risco. O risco muda a política. A política muda o que o agente tem permissão para fazer. Considere um agente de aprovação de despesas. Ele pode precisar ler solicitações de despesas, verificar a política e aprovar reembolsos de rotina, mas não deve herdar todas as permissões do funcionário que o patrocina. Sua identidade, execução, seus caminhos de acesso e sua autoridade limitada à tarefa devem ser explícitos desde o início. Se depois ele encontrar uma injeção de prompt ou tentar uma ação fora dessa tarefa, o sistema deve responder de forma proporcional: preservar leituras seguras enquanto bloqueia gravações, restringir os recursos que ele pode acessar, exigir aprovação humana comprovável para uma etapa relevante ou isolar e interromper o agente quando o risco justificar. É assim que a contenção contínua funciona na prática.

Conheça cada agente e dê a ele uma identidade com responsabilização

Você não pode proteger o que não consegue ver. Os agentes podem ser criados por meio de plataformas da Microsoft, integrados por plataformas de parceiros e kits de desenvolvimento de software (SDKs) ou introduzidos localmente sem um processo central de implantação. O Microsoft Security usa integrações nativas, conectores e sensores em toda a pilha de cibersegurança para descobrir uma parcela maior do ambiente de agentes.

Estamos ampliando a descoberta para mais 35 tipos de agentes locais, elevando o total para 60 agentes locais compatíveis, incluindo Claude Code, OpenAI Codex e GitHub Copilot. As organizações podem reunir esses agentes em um registro unificado, independentemente de como foram descobertos, para compreender responsabilidade, atividade e risco.

A descoberta informa que um agente existe. A identidade oferece aos sistemas de segurança e governança uma referência duradoura para controlá-lo.

Todo agente deve ter uma identidade própria, distinta da pessoa que o utiliza ou patrocina. Estamos ampliando o Microsoft Entra Agent ID com tipos de identidade para outros padrões de agentes, incluindo agentes locais e anteriormente desconhecidos, descobertos por sensores de segurança. Isso significa que um agente pode se tornar alvo de políticas mesmo que não tenha sido originalmente integrado ao Microsoft Security. A identidade do agente estabelece a base para atribuição, responsabilidade, ciclo de vida, risco, permissões, autorização e políticas, para que a empresa possa distinguir o que uma pessoa fez do que um agente fez em nome dela.

Contenha o que o agente pode fazer antes que ele aja

Ser capaz de localizar e identificar um agente é necessário, mas é apenas o começo. Precisamos compreender o impacto potencial que o agente pode ter no ambiente corporativo. O próximo passo é estabelecer limites para o agente em sua execução, em seus caminhos até ferramentas e recursos e na autoridade que ele pode exercer.

Contenha o ambiente de execução

O modelo e o harness devem ser executados em um ambiente controlado, em vez de herdarem acesso com privilégios totais ao dispositivo. Sandboxes como o Microsoft Execution Container (MXC) oferecem acesso controlado por políticas aos recursos de que o agente precisa para concluir sua tarefa. Elas também criam um limite de aplicação no qual os controles de segurança e a observabilidade podem operar fora do alcance do agente. Se o agente ou o harness forem comprometidos, não devem conseguir desabilitar os controles que os monitoram.

Controle o espaço de ação

Um agente não deve ter liberdade para acionar qualquer ferramenta, API, servidor Model Context Protocol (MCP), recurso ou outro agente que encontrar. Controles locais, de rede e de dados devem intermediar esses caminhos, observar as chamadas e aplicar a política corporativa. Controlar apenas o destino não é suficiente. A segurança também precisa compreender o conteúdo que entra e sai do agente, incluindo sua sensibilidade, procedência e se dados não confiáveis podem estar influenciando o comportamento do agente.

Comece sem permissões ou com privilégio mínimo

Passamos décadas aplicando Zero Trust e privilégio mínimo às pessoas. Os agentes tornam esses princípios ainda mais importantes. Um agente não deve herdar automaticamente todo o acesso permanente de seu usuário. Ele deve começar sem autoridade e receber apenas o necessário para a tarefa aprovada, somente pelo tempo exigido por ela.

Para viabilizar isso, estamos apresentando o Dynamic Permissions. Uma política para toda a organização define o limite externo, inclusive impedindo que um agente obtenha uma autoridade que seu usuário não possui. As permissões podem então ser limitadas à tarefa, ter prazo definido e ser reduzidas ou removidas à medida que a tarefa muda ou é concluída. Ações de maior impacto podem exigir aprovação humana verificada.

O funcionário mantém seu acesso. O agente recebe sua própria identidade, permissões e autoridade, limitadas à tarefa atual e apenas durante a duração dela.

Adapte a proteção à medida que o risco do agente muda

O privilégio mínimo reduz a exposição, mas não elimina o risco. Um agente de aprovação de despesas pode iniciar uma tarefa com o acesso correto e depois encontrar uma injeção de prompt em um documento externo. Sua configuração não mudou, mas seu comportamento e seu risco, sim.

Para usuários humanos, um intervalo entre a detecção e a resposta pode ser administrável. Para um agente operando na velocidade das máquinas, esse intervalo pode ser a diferença entre contenção e impacto. O sistema de segurança precisa compreender o que mudou e agir antes que uma pessoa possa investigar manualmente cada sinal.

É por isso que estamos apresentando o Dynamic Agent Risk e o Dynamic Conditional Access para agentes.

Dynamic Agent Risk

O Dynamic Agent Risk combina sinais de identidade, dados, endpoints, nuvem, rede, runtime e da própria atividade do agente. Ele considera o nível de segurança da configuração do agente, quais recursos ele pode acessar, o impacto potencial caso algo dê errado e se suas ações estão se afastando da intenção do usuário ou da organização.

O resultado não é uma pontuação única atribuída no onboarding. É uma compreensão continuamente atualizada do risco atual do agente e de se sua autoridade ainda corresponde a esse risco. A questão não é simplesmente se o agente deve continuar ou parar. É o que ele deve ter permissão para ler, alterar, acionar ou aprovar naquele momento.

Dynamic Conditional Access

O Dynamic Conditional Access amplia o Microsoft Entra Conditional Access para agentes, de modo que uma mudança no risco possa acionar uma resposta coordenada em vários pontos de aplicação. A resposta é gradual, não binária. A política pode reduzir permissões, preservar leituras enquanto bloqueia gravações, restringir os dados e recursos que o agente pode acessar, limitar caminhos de rede, reduzir ou revogar acessos com prazo definido ou exigir aprovação humana comprovável antes que uma ação relevante prossiga. Nos níveis mais altos de risco, pode isolar o runtime ou interromper totalmente a execução.

Considerando o exemplo do agente de despesas, ele começa com permissão bem delimitada para revisar e aprovar despesas dentro da política. Ao encontrar conteúdo não confiável e tentar uma ação não relacionada, novas evidências elevam seu Dynamic Agent Risk. A política responde proporcionalmente: pode preservar o acesso de leitura enquanto remove a capacidade de aprovar ou gravar, bloquear o acesso a recursos sensíveis e exigir aprovação humana criptograficamente comprovável para uma etapa de alto impacto. Se o risco continuar aumentando, o sistema pode isolar o runtime ou interromper a execução. O funcionário continua produtivo e o agente é restringido sem tratar toda mudança de risco como um evento de desligamento imediato.

Proteja sistemas agênticos em escala com os Guardian Agents

À medida que as organizações implantam milhares ou centenas de milhares de agentes, realizar manualmente a triagem de cada alerta e coordenar cada resposta não será viável em escala. A própria proteção dos agentes precisa se tornar agêntica, permanecendo dentro dos limites definidos pelas pessoas.

É por isso que estamos apresentando novos protocolos e uma equipe de Guardian Agents no Project Perception. As pessoas definem políticas, limites de aprovação e regras de delegação, os playbooks definem o resultado de segurança desejado e coordenam ações de proteção e os Guardian Agents realizam o trabalho na velocidade das máquinas, adaptando-se à medida que a atividade dos agentes, o risco, o contexto de segurança e a política da organização mudam.

Os Guardian Agents podem ajudar as equipes a entender por que o risco mudou, investigar as evidências relevantes, recomendar ou aplicar medidas de contenção e usar o que aprenderam para fortalecer a política. Não se trata de terceirizar o julgamento. As pessoas mantêm o controle sobre os objetivos e as decisões relevantes. O sistema assume o trabalho contínuo que não é viável em escala por meio de operações manuais.

“Os agentes só serão adotados em escala se puderem ser confiáveis em escala. Na Microsoft, já operamos em um mundo com centenas de milhares de agentes. Como Customer Zero, aprendemos que proteger agentes exige visibilidade contínua sobre suas atividades, proteção proativa de acesso e dados e proteção adaptativa que acompanhe a evolução das ameaças. Esses aprendizados orientam diretamente as inovações que estamos oferecendo para ajudar todas as organizações a adotar agentes com confiança.” —Terrell Cox, corporate vice president (CVP) e deputy chief information security officer (CISO) de Customer Security na Microsoft

Ampliando a contenção para o modelo

À medida que a transparência dos modelos aumenta, surge uma nova fonte de evidências de segurança. A linha de raciocínio e outros sinais no nível do modelo podem ajudar a identificar desvios de intenção, compreender se as informações não confiáveis estão influenciando o raciocínio e detectar quando as ações planejadas por um agente estão se afastando da tarefa que lhe foi atribuída.

Estamos incorporando essas evidências mais profundas ao Dynamic Agent Risk, junto com sinais de toda a arquitetura de cibersegurança. Isso se baseia no princípio de Satya Nadella: aumentar a transparência do modelo e, ao mesmo tempo, manter as decisões e a aplicação de segurança independentes dele.

Ter mais transparência do modelo oferece aos sistemas de segurança as evidências mais profundas para detectar comportamentos suspeitos e informar o Dynamic Agent Risk. Mas o princípio central de segurança não muda: o modelo não pode ser seu próprio limite de segurança. Sistemas independentes devem observar todas as camadas, incluindo o próprio modelo, e, em última instância, determinar e aplicar o que o sistema tem permissão para fazer.

Esses não são pilares separados. Eles fortalecem a mesma arquitetura de contenção: melhores evidências, maior garantia, risco mais preciso e proteção mais eficaz.

Confiança para avançar mais rápido

As organizações estão adotando agentes para atender melhor os clientes, resolver problemas mais rapidamente e dar às pessoas mais tempo para o trabalho que mais importa. O objetivo não é tornar todo modelo perfeitamente previsível antes que ele possa ser útil. O objetivo é criar sistemas que permaneçam seguros mesmo quando o modelo não for previsível.

Isso exige uma divisão clara de responsabilidades. Os modelos fornecem inteligência, as pessoas e organizações mantêm a autoridade, os controles independentes estabelecem a identidade, limitam privilégios, protegem dados, preservam evidências e contêm ações inseguras e a segurança reavalia continuamente o risco e adapta a proteção à medida que o agente trabalha.

Você não deveria ter que escolher entre inovação e segurança.

É para isso que estamos trabalhando: um mundo agêntico no qual as organizações possam colocar a inteligência em ação com confiança, porque a segurança consegue observá-la, governá-la e contê-la na mesma velocidade.

Saiba mais aqui e participe do Microsoft Ignite.

Para saber mais sobre as soluções do Microsoft Security, visite nosso site. Adicione o Security blog aos favoritos para acompanhar a cobertura de nossos especialistas sobre temas de segurança. Siga-nos também no LinkedIn (Microsoft Security) e no X (@MSFTSecurity) para conferir as notícias e atualizações mais recentes sobre cibersegurança.