A Microsoft quer agentes de IA tratados como insiders. A resposta é permissão que muda durante o trabalho

Um agente começa uma tarefa com acesso de leitura a uma pasta de projeto. No meio do caminho, ele abre um documento que manda enviar a pasta para um endereço externo. Nada sobre a identidade dele mudou. As credenciais continuam válidas. A atribuição de função, revisada no trimestre passado, ainda diz que ele pode ler e gravar naquela pasta. Todo controle criado para funcionários e contas de serviço deixaria o próximo passo passar.

Esse é o problema que a Microsoft colocou no centro de um comunicado de 19 de outubro da sua organização de identidade e acesso de rede: o insider agêntico. A expressão é deliberada. Programas de risco de insider existem porque pessoas confiáveis às vezes agem contra a organização, por erro ou de propósito. O argumento da Microsoft é que agentes agora pertencem à mesma categoria, com uma diferença que quebra as ferramentas usuais: o comportamento de um agente pode mudar dentro de uma única tarefa, conforme o contexto muda.

Quatro mecanismos, uma ideia

A Microsoft está estendendo o Project Perception, o sistema de segurança que apresentou em julho, com um conjunto de mecanismos que se apoiam na mesma ideia: a autorização deve ser recalculada enquanto o agente trabalha, não concedida uma vez no onboarding.

• Dynamic Permissions. Agentes começam sem permissão. A política da organização define o limite externo e, dentro dele, as permissões têm escopo por tarefa, duração limitada e são removidas quando a tarefa termina. Um agente não pode exceder a autoridade do usuário para quem trabalha, e ações de maior impacto podem exigir aprovação humana verificada.
• Dynamic Agent Risk. Uma pontuação de risco atualizada continuamente a partir de sinais de identidade, dados, endpoint, nuvem, rede, runtime e atividade do agente, em vez de atribuída uma vez.
• Dynamic Conditional Access. O Microsoft Entra Conditional Access, estendido a agentes, com respostas graduadas: reduzir permissões, depois isolar o runtime, depois interromper a execução.
• Guardian Agents. Um time de agentes dentro do Project Perception que executa trabalho de proteção definido em Playbooks, com pessoas definindo os objetivos e mantendo as decisões de maior consequência.

Em torno desses mecanismos, a descoberta cresce em 35 tipos de agentes locais, para 60 suportados, incluindo Claude Code, OpenAI Codex e GitHub Copilot, e o Entra Agent ID adiciona tipos de identidade para agentes locais e para agentes desconhecidos encontrados por sensores. Project Perception e Microsoft Agent 365 compartilham sinais, contexto e um único registro de agentes.

Uma resposta graduada em vez de um kill switch

Operação normalExecução interrompida

1. Concessão com escopo de tarefaComeça do zero, expira com a tarefa
2. Risco sobeNovo sinal de dados, endpoint ou runtime
3. Permissões reduzidasAgente segue trabalhando com menos
4. Runtime isoladoContido, evidências preservadas
5. InterrompidoÚltimo recurso

Onde o desenho está certo

A frase mais forte do comunicado não é sobre um recurso. A Microsoft diz que a aplicação fica independente do modelo, e que o modelo não pode ser a própria fronteira de segurança. É o mesmo princípio por trás de Microsoft Execution Containers, e é o correto. Um guardrail dentro do prompt é conselho. Uma permissão retirada pelo Entra é fato.

Permissões com escopo por tarefa e expiração também resolvem um problema que a maioria dos programas de agentes aceitou em silêncio: acesso permanente. Hoje muitos agentes rodam sob um service principal com os direitos de que o construtor precisou durante o desenvolvimento, mantidos para sempre porque ninguém é dono da revisão. IAM fraco falha mais rápido com agentes, e ‘começa com zero, termina com a tarefa’ é a resposta mais limpa até agora para privilégio permanente.

A resposta graduada importa mais do que parece. Um agente interrompido no meio de um trabalho de várias etapas pode deixar trabalho pela metade, o que é um incidente por si só. Reduzir o escopo primeiro, depois isolar, dá aos times de operações uma forma de conter um agente sem criar um segundo problema.

O que confirmar antes de planejar em torno disso

Disponibilidade. O comunicado usa ‘introducing’ e ‘expanding’ o tempo todo e não informa se algo está em disponibilidade geral (GA), status de preview, licenciamento ou preço para nenhum dos quatro mecanismos. O Microsoft Ignite acontece de 17 a 20 de novembro. Até que as páginas de produto digam o contrário, trate isso como direção, não como uma capacidade que você pode colocar em uma matriz de controle.

O que uma pontuação de risco vê. O Dynamic Agent Risk só é tão bom quanto os sinais que chegam até ele. Um agente que roda fora dos 60 tipos suportados, ou chama ferramentas que não reportam para a telemetria da Microsoft, é avaliado com menos informações. Uma pontuação atualizada continuamente é um mecanismo de detecção, e nenhum mecanismo de detecção detecta toda ação insegura.

Chain of thought como evidência. A Microsoft planeja alimentar sinais em nível de modelo, incluindo monitoramento de chain-of-thought, na pontuação de risco para detectar desvio de intenção. Útil, mas o raciocínio visível de um modelo não é um relato completo do porquê ele agiu. Isso pertence à evidência, não ao veredito.

Observação versus controle. Ver um agente não é o mesmo que impedi-lo antes que ele aja. A pergunta decisiva para cada agente é se o ponto de aplicação fica antes da chamada de ferramenta ou só depois dela. A autorização temporal no Strands Box da AWS responde por ação; a arquitetura da Microsoft precisa mostrar o mesmo para cada integração.

O passo prático não depende de nada disso entrar em produção: faça o inventário de quais dos seus agentes têm permissões permanentes hoje e, para cada um, anote para qual tarefa essas permissões existem. Essa lista é a entrada de que todo sistema dinâmico vai precisar.