Zero Trust para agentes de IA: o novo perímetro que sua empresa precisa desenhar

Sua empresa começou a usar Copilot, alguém do financeiro testou um assistente de IA para conciliar planilha, e o comercial já roda automação com IA para responder proposta. Ninguém na TI sabe listar hoje quantos desses agentes existem, com qual credencial cada um opera e a quais dados eles chegam. Enquanto a lista cresce no escuro, cada agente sem dono é um funcionário invisível dentro da operação, com acesso do humano que o abriu e capacidade de mover dado sensível em segundos.

O problema que o Zero Trust precisa resolver agora

O risco não é a IA em si. É a IA operando com credencial emprestada. Um agente que herda o acesso do usuário enxerga contrato, base de cliente, tabela de preço e movimentação fiscal. Basta um prompt manipulado, uma ferramenta externa comprometida ou uma sessão sequestrada para o dado sair. E como a ação foi feita pelo agente usando o crachá do funcionário, a investigação depois vira quebra-puzzle: quem executou, quando, com qual intenção, para onde foi o dado.

O agravante é a velocidade. Um agente trabalha vinte e quatro horas por dia, em ritmo de máquina, e uma única configuração ampla pode gerar exposição em segundos. Quando a auditoria pergunta ou o seguro cibernético cobra evidência, a resposta precisa existir.

O que mudou na forma de tratar esse risco

A Microsoft passou a tratar cada agente de IA como uma identidade separada, com regras próprias. Os princípios de Zero Trust, verificar sempre, dar o mínimo de acesso e assumir que a brecha existe, foram estendidos para identidades não humanas. Na prática, isso significa quatro camadas novas de controle:

Identidade por agente

Cada agente ganha uma identidade única, gerenciável, separada do usuário que o invocou e do workload em que roda. Passa a ser possível aplicar política de acesso condicional sobre o agente em tempo real, avaliando risco de sinal por sinal, e permitir apenas o que faz sentido para aquela função específica.

Acesso mínimo com prazo

Em vez de crachá permanente, o agente recebe acesso pontual, com escopo estreito e validade determinada, aprovado por um sponsor humano. Terminou a tarefa, o acesso expira. Essa é a mesma lógica de aprovação de compra e de verba que o financeiro já pratica: nada roda sem dono, sem escopo e sem prazo.

Observabilidade em tempo real

Cada chamada de ferramenta, cada acesso a API e cada consulta a dado feita pelo agente vai para um SIEM que compara com o padrão normal e dispara alerta quando algo destoa. Quando o incidente acontece, a origem é identificada no mesmo dia, não no fechamento do trimestre.

Controle sobre o dado e as ferramentas

Rótulos de sensibilidade e políticas de proteção restringem o que o agente pode alcançar mesmo quando o usuário teria permissão para abrir o documento. E o catálogo de ferramentas externas que o agente pode chamar passa a ser tratado como cadeia de suprimento: só roda o que a empresa aprovou.

Impacto prático nas empresas

Para o dono e o diretor financeiro, o efeito é reduzir a chance de o próximo susto vir de um agente que ninguém sabia que existia. Para o controller, é ter rastro completo para responder auditoria e cliente grande. Para o gestor de TI, é substituir política escrita no papel por regra que o ambiente aplica sozinho, sem depender de disciplina de cada usuário.

O reverso também é verdadeiro. Empresa que segue rodando IA sem essa camada assume três apostas ao mesmo tempo: que nenhum funcionário vai testar ferramenta não aprovada, que nenhum agente vai receber prompt malicioso, e que nenhuma credencial vai vazar. Historicamente, essas três apostas perdem.

Cenários reais em que essa discussão aparece

• Empresa que acabou de contratar Copilot para uma área piloto e precisa evitar que a expansão para outras áreas leve dado do RH para o comercial sem querer.
• Operação em que times de vendas ou marketing começaram a usar assistentes de IA públicos, colando trecho de contrato e proposta em ferramenta fora do ambiente corporativo.
• Negócio que recebeu questionário de segurança de um cliente grande, ou renovação de seguro cibernético, pedindo evidência de como a empresa controla IA.
• Companhia que já tem M365 E5 licenciado mas não ativou as camadas de governança de identidade, proteção de dado e resposta a incidente que já pagou.

Pontos de atenção antes de sair implementando

• A cobertura completa depende de licenciamento adequado, tipicamente Microsoft 365 E5 ou complementos específicos de Entra ID Governance e Purview. Sem o plano certo, boa parte dos controles não liga.
• Inventário vem antes de política. Não adianta escrever regra fina sobre agente se a empresa não tem visibilidade do que já roda no ambiente hoje, incluindo os agentes locais em endpoint de usuário.
• Adoção precisa de acordo com as áreas. Financeiro, RH e comercial vão sentir a restrição, então a política precisa nascer conversada, com sponsor humano definido para aprovar exceção.

Como a Memory pode apoiar

A Memory implementa o pacote Microsoft de identidade, dados e resposta a incidente, com M365 E5, Entra ID Governance, Purview, Sentinel, Defender e Intune, e desenha a política de acesso para agentes de ponta a ponta. O trabalho começa pelo inventario do que já roda no ambiente, passa pela definição de escopo e prazo por tipo de agente, e chega no monitoramento contínuo com alerta ligado ao time certo.

A avaliação inicial pelo MemoryCare 365 identifica onde a empresa está exposta hoje e qual é o próximo passo com maior retorno, sem depender de projeto grande para começar.

Conclusão

Zero Trust deixou de ser uma discussão sobre firewall e VPN e virou a régua para decidir quem, humano ou não, tem direito de tocar em qual dado, em qual momento, e com qual rastro. Adiar essa conversa significa deixar a empresa vulnerável ao vetor que mais cresce, o agente invisível operando com credencial emprestada. Colocar a régua no lugar antes do próximo agente entrar em produção é a decisão mais barata do ciclo.