I. A pergunta mudou de forma
Durante décadas, a gestão de identidades numa empresa respondeu a uma pergunta única e simples: qual pessoa fez isto. A resposta cabia num campo de log. A infraestrutura inteira de controle de acesso foi construída para que esse campo significasse algo.
O volume anterior desta temporada estabeleceu quatro atributos de um registro que serve de prova. O último deles era a vinculação a identidades: quem disparou o sistema, quem aprovou, quem rejeitou, quem deixou passar. Sem essa camada, dissemos, o registro prova que algo rodou e não prova quem respondia por aquilo.
Com agentes de IA, a pergunta única se desdobra em três. Qual pessoa autorizou. Qual agente executou. Com que poderes ele agia naquele momento. Um agente que consulta bases, altera cadastros e encerra solicitações é, para efeitos práticos, um operador — com a diferença de que não assina ponto, não faz treinamento de integridade e, com frequência, não tem identidade própria nos sistemas onde age.
É por isso que este volume não é um capítulo sobre segurança da informação disfarçado de governança. É o contrário. A camada de identidade é o ponto em que a delegação de poderes se torna visível, e delegação de poderes é, por definição, matéria de Conselho — com máquina no meio ou sem ela.
[Ponto de Inflexão Fiduciária]: Se um agente seu executar amanhã uma ação indevida, a organização sabe dizer em nome de quem ele agia — ou vai descobrir que ele operava com uma credencial que ninguém lembra de ter concedido?
II. O que a evidência disponível registra
Pesquisa 2025 Identity Security Landscape, publicada pela CyberArk em 23/04/2025 com 2.600 decisores de segurança em 20 países, Brasil incluído: estimativa de 82 identidades de máquina para cada identidade humana nas organizações, e 68% das organizações relatando não ter controles de segurança de identidade para IA. Ressalva declarada: trata-se de pesquisa conduzida por fornecedor do setor. OWASP Top 10 for LLM Applications 2025, item LLM06:2025 Excessive Agency: risco decorrente de funcionalidade, permissões ou autonomia excessivas; mitigações recomendadas — menor privilégio, aprovação humana para ações de alto impacto, execução no contexto do usuário e autorização verificada nos sistemas que recebem a ação. Lei nº 13.709/2018: Art. 46 exige medidas técnicas e administrativas de segurança; Art. 13, §4º define pseudonimização. Regulamento (UE) 2024/1689, Art. 26: cabe a quem usa designar as pessoas que exercem a supervisão, com competência, formação e autoridade.
A ordem de grandeza importa mais que o número
Oitenta e duas identidades de máquina para cada identidade humana é estimativa de fornecedor, e o fornecedor vende a solução do problema que ele mede. Ainda assim, a ordem de grandeza é difícil de disputar: a maior parte das entidades que agem nos sistemas de uma empresa já não é pessoa. O agente de IA acrescenta a esse contingente uma variedade nova — ele não executa apenas uma rotina fixa, e sim escolhe o que fazer em seguida.
O que muda com essa variedade é a relação entre credencial e responsabilidade. Uma rotina agendada não precisa de governança; precisa de supervisão técnica. Um sistema que decide, a cada ciclo, qual ação tomar produz consequências jurídicas por meio de um instrumento — a conta de serviço — que foi desenhado para não produzir nenhuma.
A falha que aparece primeiro: a credencial compartilhada
O registro diz que o analista aprovou. A conta analista é usada por seis pessoas. Noutro caso, o agente opera com a mesma credencial técnica de três sistemas diferentes. Nessas duas situações, todo o esforço descrito nesta temporada — veto real, registro por decisão, amostragem de casos — perde o elo final: não é possível dizer quem exerceu o controle.
Um log de identidade genérica não é um log incompleto. É um documento que não responde à pergunta para a qual foi produzido. Em juízo, em auditoria de apólice e em exame de regulador, a questão nunca é se alguém aprovou; é quem.
Poderes que a tarefa não pede
A OWASP (fundação internacional sem fins lucrativos que publica referências de segurança de aplicações) descreve o risco de agência excessiva em três causas: o agente tem acesso a funcionalidades de que não precisa, opera com permissões mais amplas do que a tarefa exige, ou tem autonomia para executar ações de alto impacto sem verificação independente.
O exemplo mais comum é também o mais banal: um agente criado para consultar situação de pedidos, conectado com uma credencial que também permite alterar e excluir registros. Essa permissão pode ficar meses sem uso, e é exatamente isso que a torna invisível. Basta uma instrução ambígua, um erro de interpretação ou uma manipulação externa para que ela seja exercida.
O agente que decide se pode agir
A terceira falha é mais sutil e mais frequente nas implementações recentes. Muitas arquiteturas deixam o próprio modelo avaliar se determinada ação é permitida, a partir do texto que lhe foi entregue. A recomendação da literatura de segurança é oposta: a autorização deve ser verificada nos sistemas que recebem a ação, e não pelo sistema que a solicita.
É o mesmo princípio que separa narrativa de prova. Não se pede ao sistema auditado que redija o próprio relatório de auditoria — e não se pede ao agente que conceda a si mesmo a autorização para agir.
[Ponto de Inflexão Fiduciária]: Dos agentes em operação hoje, quantos têm permissões que alguém revisou desde a configuração original — e quantos estão rodando com o escopo que o fornecedor definiu por padrão?
III. Procuração Digital
Proponho chamar de Procuração Digital o tratamento da identidade de cada agente como delegação de poderes. O agente não age em nome próprio: age em nome de alguém, com poderes definidos, limitados, com prazo e revogáveis. O termo é analogia de governança e não corresponde a instituto do direito brasileiro.
Como qualquer procuração, ela responde a perguntas objetivas. Outorgante — em nome de quem o agente age: de um usuário específico, de uma área, da organização. Poderes — quais ações ele executa, em quais sistemas, até que limite. Vedações — o que ele não faz em nenhuma hipótese, ainda que instruído. Prazo — quanto tempo a credencial vale antes de ser renovada. Revogação — quem pode suspender o instrumento imediatamente, e em quanto tempo a suspensão tem efeito.
Três princípios sustentam o desenho. O primeiro é a identidade própria: um agente não compartilha credencial de pessoa nem de outro sistema, porque é a identidade exclusiva que permite separar, no registro, o que foi feito pela pessoa do que foi feito pela máquina em nome dela.
Os outros dois limitam o escopo. Menor privilégio: o agente recebe apenas as permissões da tarefa — consultar, se a tarefa é consultar — e a revisão do escopo é disparada toda vez que a tarefa muda. Execução no contexto de quem autorizou: se o analista pode aprovar até determinado valor, o agente que age em nome dele também não ultrapassa esse valor, e não opera com uma credencial técnica mais ampla.
Do lado humano, os controles são conhecidos e continuam aplicados de forma desigual: autenticação forte antes de decisões críticas, credenciais pessoais e intransferíveis em processos que envolvem IA, alçadas vinculadas à identidade de quem aprova, e segregação de funções — quem configura o agente não é quem aprova suas ações, e quem aprova não é quem audita. O último item dialoga com o problema da fadiga de aprovação, tratado no volume seguinte: separar quem supervisiona de quem é cobrado por produtividade é a forma que a governança já conhece de proteger a atenção de quem julga.
Há uma consequência que não pode ficar de fora. Um registro que vincula cada decisão a uma pessoa é, ele mesmo, um conjunto de dados pessoais sobre o trabalho dessa pessoa: o que aprovou, quando, em quanto tempo. O instrumento de prova vira fonte de exposição se for mal protegido. Identificadores pseudonimizados, com a correspondência guardada em sistema separado e acessível a quem tem função de auditoria, são o desenho mínimo. E o monitoramento do comportamento de quem supervisiona precisa de finalidade declarada e comunicada: medir a saúde da supervisão é legítimo; convertê-lo em vigilância individual sem transparência não é.
[Ponto de Inflexão Fiduciária]: Sua organização sabe quantos agentes estão em operação hoje — e conseguiria produzir, por escrito, os poderes de cada um deles, com data e assinatura de quem os concedeu?
IV. O Mandato da Delegação
A decisão deste volume é converter credencial em instrumento. Cada agente crítico passa a ter identidade própria, escopo de poderes aprovado e revogação testada — três fatos verificáveis, e não uma configuração herdada.
☐ Sugere-se levantar os agentes em operação e atribuir a cada um um outorgante nomeado, com poderes, vedações, prazo e responsável pela revogação registrados por escrito.
☐ Recomenda-se eliminar conta compartilhada em qualquer processo que envolva aprovação de decisão assistida por IA, vinculando alçada à identidade individual e verificando autorização nos sistemas que recebem a ação.
☐ Orienta-se testar sem aviso a suspensão das credenciais de um agente e guardar evidência do tempo decorrido entre a ordem e o efeito.
V. O Teste do Ácido
Se um agente de IA executou uma ação indevida e a parte contrária perguntou hoje em nome de quem ele agia, com que poderes e quem autorizou — a sua organização responde com um instrumento de delegação, ou com o nome de uma conta que seis pessoas compartilhavam?
🏛️ Biblioteca: Metodologia Prática
Protocolo de Delegação Verificável
01. Roteiro de aplicação por agente em operação
- Inventarie antes de governar. Liste os agentes ativos, a credencial que cada um usa e os sistemas onde age. Quem começa pelas políticas costuma descobrir, no fim, que não sabia quantos agentes tinha.
- Escreva o instrumento. Para cada agente: outorgante, poderes, vedações, prazo da credencial e quem revoga. Um documento por agente, com data e assinatura de quem aprovou.
- Reduza o escopo ao da tarefa. Compare as permissões efetivas com o que a função exige. O excedente não é folga de segurança; é superfície de incidente.
- Mova a autorização para o destino. A verificação de permissão passa a ocorrer no sistema que recebe a ação, e o agente apenas solicita.
- Teste a revogação. Cancele a credencial de um agente em exercício, sem aviso, e meça o tempo até o efeito. Revogação não testada é hipótese.
02. Matriz de atribuição
| Pergunta do Conselho | Evidência que a responde | Fragilidade típica |
|---|---|---|
| Quem agiu: pessoa ou agente? | Identificador exclusivo por agente no registro | Conta de serviço usada por sistemas e pessoas |
| Que poderes foram concedidos? | Instrumento de delegação aprovado e datado | Escopo herdado da configuração do fornecedor |
| Quem autorizou esse poder? | Nome, cargo e data no ato de concessão | Concessão feita por quem não tinha alçada para isso |
| A permissão é verificada onde? | Registro de recusa no sistema de destino | Modelo avaliando a própria autorização |
| Até quando vale a credencial? | Prazo e histórico de renovação | Credencial vitalícia sem revisão |
03. Glossário
agência excessiva: tradução de excessive agency, risco de o agente executar ações danosas por dispor de funcionalidade, permissão ou autonomia além do necessário.
alçada: limite de valor ou de tipo de decisão que uma pessoa está autorizada a aprovar.
compartilhamento de credencial: uso de uma mesma conta por várias pessoas ou sistemas, o que impede atribuir a ação a um indivíduo determinado.
identidade de máquina: credencial usada por sistemas, aplicações, scripts ou agentes, e não por pessoas, para acessar outros sistemas.
menor privilégio: princípio segundo o qual cada identidade recebe apenas as permissões estritamente necessárias à sua tarefa.
OWASP: organização internacional sem fins lucrativos que publica referências de segurança de aplicações, entre elas listas dos principais riscos.
Procuração Digital: termo proposto nesta série para tratar a identidade de um agente como delegação de poderes — outorgante, poderes, vedações, prazo e forma de revogação.
pseudonimização: tratamento que impede a associação direta de um dado a uma pessoa sem informação adicional guardada separadamente (LGPD, Art. 13, §4º).
segregação de funções: separação entre quem executa, quem aprova e quem audita a mesma atividade.