.webp){kind=small}
O gateway é o primeiro controle que as equipes procuram, mas é aquele para o qual estão menos preparadas. Isso ocorre porque os gateways se baseiam em camadas de identidade e atribuição que, em sua maioria, ainda não existem.
A primeira camada de risco não é hipotética. Em junho, a CISA adicionou uma falha no LiteLLM ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas, após ataques terem sido flagrados explorando-a em situações reais. O bug executava comandos no host por meio do próprio gateway e, combinado com uma segunda falha, dispensava credenciais. Essa foi uma das sete vulnerabilidades e exposições comuns (CVEs) divulgadas nesse único gateway de IA em apenas um mês. Essa é a camada que muitas empresas priorizam para proteger seus agentes de IA.
Ao considerar uma arquitetura de agente segura, os controles de gateway não devem ser o primeiro controle.
Devem ser o quinto
A maioria dos modelos de maturidade em segurança de agentes descreve os controles que uma empresa precisará no futuro. Em que ordem esses controles devem ser implementados em conjunto com um sistema de gerenciamento de identidade e acesso já existente?
Se o plano de controle desconhece qual agente está agindo, quem delegou a tarefa, qual tarefa o agente deve executar e quais credenciais estão sendo usadas, então o contexto está incompleto. Um gateway pode bloquear violações claras de política, mas terá dificuldades para distinguir uma ação justificada de uma que seja tecnicamente permitida, mas operacionalmente inadequada.
A aplicação de medidas é feita precocemente, enquanto o contexto de identidade e atribuição do qual depende ainda precisa ser desenvolvido. A segurança do agente funciona como uma cadeia de dependências, em que cada controle depende do contexto gerado anteriormente.
O ponto de partida errado
Imagine o roteamento do tráfego de agentes por meio de um novo gateway de tempo de execução. Um agente de conciliação financeira tenta alterar um registro em produção. O gateway autentica o token do usuário e verifica a chamada da API. O que ele não consegue observar é se a solicitação foi iniciada pelo agente, se o agente está executando uma função mais limitada ou se a solicitação faz parte de uma cadeia de ferramentas invocada por um artefato não confiável.
A credencial é válida. A chamada à API é permitida. A ação contradiz o propósito da delegação. O gateway está presente, mas seu conjunto de recursos parece estar ausente, resultando em um controle custoso aplicado a uma parte muito pequena do todo.
Limitar os privilégios de um agente aos do principal humano é útil para que o agente não ultrapasse os limites da pessoa a quem serve. No entanto, ter um limite de privilégios não cria atribuição separada. Vinte agentes podem operar sob as permissões de uma única pessoa e ainda assim necessitar de identidades únicas, registros de auditoria, perfis de comportamento e caminhos de revogação.
Implantação controlada por dependências
Chamo esse processo de implantação controlada por dependências. Os testes de saída upstream devem ser atendidos antes que qualquer controle downstream seja considerado operacionalmente completo. O desenvolvimento simultâneo de controles downstream é permitido.
Cada agente de produção tem um proprietário nomeado, uma finalidade, ferramentas aprovadas e um estado de ciclo de vida.
Identidade de agente distinta mais contexto de delegação.
O sistema consegue identificar o agente, seu proprietário e o principal para quem ele atua.
As decisões políticas incorporam o contexto do agente, do principal, da tarefa e da ação, e não apenas a validade simbólica.
Linhas de base comportamentais e via de eliminação intersistêmica.
A autoridade efetiva do agente pode ser interrompida em todos os pontos em que se encontra.
Os seis portões de dependência para os controles de segurança do agente. Cada controle é contextualizado pelos portões acima dele. Baseado na análise do autor sobre implantações de agentes em produção.
Comece com os agentes que você realmente consegue nomear
Para começar, identifique os agentes de produção em frameworks de código aberto, ofertas em nuvem, serviços SaaS e ferramentas de desenvolvimento. Para cada um, registre o proprietário, a responsabilidade, o estágio do ciclo de vida, as ferramentas permitidas, os domínios de dados e as fontes de credenciais.
Ignorar esta etapa fará com que a organização perca a primeira hora de resposta a incidentes enquanto tenta descobrir algo que deveria ser óbvio. O inventário identifica o ativo que todos os controles subsequentes irão reger.
Um agente não deve estar oculto em um token de desenvolvedor, uma conta de serviço compartilhada ou uma sessão humana. Simplesmente saber que o chamador é um agente não é suficiente. É preciso saber quem delegou a tarefa, qual tarefa específica o agente foi instruído a executar e a quais recursos o agente precisa de autorização para acessar. A identidade especifica qual ator fez a chamada. A delegação responde à questão de cuja autoridade ela atua e por qual motivo.
Assim que essa conexão é interrompida, os registros subsequentes atribuem o agente de reconciliação ao funcionário cujo token foi emprestado, e cada ação realizada é atribuída a alguém que não a iniciou.
Reduza a autoridade antes de inspecionar o comportamento
Uma vez identificado o agente, suas capacidades devem ser limitadas. As restrições de acesso devem ser temporárias, vinculadas à tarefa, e limitadas às ferramentas e recursos necessários para sua execução. Isso pode ser implementado utilizando recursos de gerenciamento de identidade e acesso (IAM), como identidade de carga de trabalho, troca de tokens, acesso condicional e permissões com prazo determinado, que a organização já possui.
Com relação ao estudo Teleport de 2026, que envolveu 205 líderes de segurança, o escopo de acesso supera a capacidade preditiva do setor, da maturidade ou da autoconfiança no que diz respeito à previsão de incidentes relacionados à IA. Por exemplo, organizações com IA com privilégios excessivos relataram uma taxa de incidentes de 76%, enquanto incidentes de IA ocorreram em 17% das organizações com privilégios mínimos. Isso indica que o escopo de acesso na cadeia de dependência é mais importante do que a aplicação de políticas de segurança em tempo de execução com base no contexto.
O princípio fundamental é a delegação monotônica. Toda transferência de responsabilidade deve preservar ou diminuir a autoridade; em hipótese alguma deve aumentá-la. Para o agente de conciliação, isso significa um agente que pode visualizar apenas um livro-razão, em oposição a um que herda o acesso do funcionário a todos os sistemas aos quais ele tem acesso.
Corrigir a atribuição antes de automatizar a aplicação
A maioria das ferramentas de auditoria consegue capturar qual recurso foi acessado e qual credencial permitiu o acesso. Nas implementações de agentes que analisei, essa é a etapa mais frequentemente negligenciada. Antes de utilizar uma política de tempo de execução adaptativa, vincule qualquer invocação de ferramenta relevante à identidade do agente, à entidade iniciadora, ao ID da tarefa, à ação principal e ao resultado. Para uma tarefa concluída, verifique se é possível rastrear o iniciador, o agente que a executou, a autoridade sob a qual a ação foi realizada, as ferramentas utilizadas e o resultado. Em ambientes regulamentados, a supervisão sem atribuição não pode ser justificada.
Agora o portal justifica sua manutenção
O gateway pode usar identidades registradas, delegação explícita, credenciais com escopo definido e telemetria atribuível para questionar se este agente está autorizado a executar esta ação, para este principal, dentro desta tarefa, envolvendo este recurso. Embora as credenciais do usuário possam conceder acesso de gravação ao agente de reconciliação financeira, o gateway possui contexto situacional e, portanto, determina que está fora do escopo. Este é o ponto de maior valor do controle. Os controles mais rigorosos devem ser aplicados em limites irreversíveis — pagamentos, alterações na política de acesso, exclusões, modificações no ambiente de produção e exportações de dados.
A detecção e o caminho para a eliminação vêm por último
As linhas de base comportamentais são desenvolvidas por último, pois é necessário estabelecer uma atividade de agente distinguível e atribuível para definir um padrão. Dessa forma, as equipes de segurança conseguem identificar padrões anômalos de uso de ferramentas, acessos inesperados entre domínios e desvios das tarefas atribuí. Um caminho de eliminação adequado envolve a desativação da identidade do agente, a invalidação das credenciais ativas e derivadas, o bloqueio da ativação de ferramentas, o encerramento de tarefas ativas e o isolamento da carga de trabalho que contém o agente.
