Seu agente de IA tem credencial. Mas quem autorizou a decisão?

A demonstração termina e, por alguns segundos, a sala fica em silêncio. O agente leu os e-mails do cliente, consultou o CRM, cruzou as condições comerciais, preparou uma proposta e disparou a mensagem, tudo antes que alguém precisasse alternar de tela. Então vem a pergunta que desmonta o encantamento: com as credenciais de quem esse agente fez tudo isso?

O risco mudou de lugar. Um chatbot que responde errado gera constrangimento; um agente conectado a sistemas corporativos transforma uma resposta errada em ação real, como alterar um contrato ou aprovar um desconto indevido. O OWASP Top 10 for Agentic Applications 2026 coloca o sequestro do comportamento do agente e o abuso de privilégios entre os riscos centrais, e com acesso suficiente uma instrução maliciosa pode expor dados de clientes ou acionar outro sistema crítico. O ataque entra pela linguagem, o dano aparece na autorização.

A solução é arquitetura, não prompt melhor. O agente precisa de identidade própria, separada da pessoa que o acionou e do sistema que o hospeda. A permissão deve acompanhar a tarefa, com escopo reduzido e validade curta, em vez de credenciais duradouras e abrangentes. E a trilha precisa registrar quem originou a solicitação, qual agente decidiu, qual ferramenta foi chamada, quais dados foram usados e qual foi o resultado. Autonomia sem controle é apenas uma conta privilegiada com capacidade de improvisar. No fim, é a segurança que determina a velocidade de adoção e o retorno real sobre o investimento.