Governe o agente de IA como a identidade que ele é

Quando uma empresa contrata uma pessoa, essa pessoa passa por um processo. O RH provisiona uma conta, a segurança a limita a uma função, o acesso é revisado periodicamente e, no último dia, alguém o revoga. Pelo menos, deveria ser assim, mas a realidade é diferente. A força de trabalho de máquinas hoje embutida em toda a empresa nunca passou por nada disso, nem mesmo na teoria. Contas de serviço, chaves de API, tokens OAuth e os agentes de IA construídos sobre eles foram criados para fazer algo funcionar, receberam o acesso que facilitasse o trabalho e depois foram deixados em execução. De acordo com o Identity Security Landscape 2026 da Palo Alto Networks, uma pesquisa com 2.930 tomadores de decisão de segurança, as identidades de máquina superam os funcionários humanos em 109 para 1, e 79 de cada 109 são agentes de IA.

Deixando de lado o ruído das manchetes sobre IA atacando IA, o que resta é um agente de IA que é uma identidade não humana. Ele possui credenciais, recebe permissões e executa ações nos sistemas. Isso é algo que as equipes de segurança já sabem governar.

O setor responde a isso como responde a tudo que tem "IA" no nome: propondo uma nova categoria. Novas ferramentas, novas equipes e novas linhas de orçamento para "segurança de IA" e "segurança agêntica". A pressão sobre um CISO é comprar uma plataforma de segurança de IA, e os relatórios que alimentam essa pressão são contundentes: a Cloud Security Alliance, em uma pesquisa de 2024 com 818 profissionais, constatou que apenas 15% se sentem muito confiantes de que conseguiriam impedir um ataque envolvendo essas identidades.

Mas vamos aliviar essa pressão: você está mais adiantado do que o pânico sugere. Você já tem um manual para uma identidade que possui credenciais, tem permissões e age nos sistemas. Você a inventaria, limita ao menor privilégio, expira seu acesso permanente, a revisa e detecta quando ela é abusada. A tarefa é estender essa disciplina à força de trabalho de máquinas, da mesma forma que ela já cobre as pessoas.

Para o MITRE ATT&CK, um ataque baseado em IA continua sendo um ataque à identidade

O incidente da Salesloft Drift é o caso inteiro em um único evento. Entre 8 e 18 de agosto de 2025, o grupo de intrusão rastreado como UNC6395 atingiu mais de 700 organizações, entre elas Cloudflare, Palo Alto Networks, Zscaler e Proofpoint, por meio dos tokens OAuth e de atualização emitidos para uma integração de chatbot de IA. O Google Threat Intelligence Group e a Mandiant não encontraram nenhuma vulnerabilidade na plataforma Salesforce por trás disso. Não houve injeção de prompt nem envenenamento de modelo. Em termos de MITRE ATT&CK, foram Valid Accounts (T1078) e abuso de Application Access Token (T1550.001): o mesmo ataque à identidade contra o qual o setor se defende há uma década, desta vez direcionado a uma identidade não humana com credenciais permanentes, com permissões excessivas e sem expiração.

Um agente de IA não precisa sofrer jailbreak para violar você. Ele só precisa manter as credenciais permanentes que você entregou. A tecnologia mais avançada do prédio pode falhar da forma mais antiquada que existe.

Governe agentes de IA como você governa contas privilegiadas

Comece pelo controle a que a maioria das equipes recorre. A autenticação multifator protege um login, mas uma identidade de máquina que possui um token de atualização nunca mais faz login. Ela gera novos tokens de acesso de forma contínua e silenciosa. A MFA não tem efeito sobre essa classe de ataque. O que governa uma identidade de máquina é expiração, delimitação de escopo e emissão just-in-time.

A exposição é o privilégio permanente, e essa é uma propriedade de governança que você pode medir hoje. O Relatório 2026 de Segurança de Dados e Identidade da Netwrix constatou que 76% das organizações não governam nem monitoram totalmente as identidades não humanas (NHI). A pesquisa 2026 da Teleport com 205 líderes de segurança constatou que 70% concedem aos sistemas de IA mais acesso do que um humano precisaria para a mesma tarefa, e o relatório The Silent Rollback da JumpCloud apontou em 49% a parcela de organizações que dependem de chaves e tokens estáticos e sem expiração para seus agentes. São os números de identidade sem governança em escala de máquina, e a lacuna de governança é exatamente o que um atacante procura.

Essas identidades também escapam do manual humano, porque o manual foi escrito para humanos. Elas funcionam 24 horas por dia, então nenhuma janela de horário anormal se destaca. O desligamento também raramente acontece: a Cloud Security Alliance constatou que apenas 20% das organizações têm um processo formal para revogar credenciais como chaves de API. O remédio é o enfadonho: rotação, acesso just-in-time, revisões periódicas de acesso e detecção de ameaças à identidade, aplicados a uma população que foi silenciosamente isenta de todos os quatro.

Depois há a pergunta que um CISO já faz sobre qualquer humano privilegiado: o que esta identidade poderia alcançar se sua credencial estivesse agora nas mãos erradas? É uma pergunta sobre o raio de impacto, e o raio de impacto é função do acesso. A disciplina para respondê-la já está dentro de casa, mas nunca foi voltada para os bots.

Mas há mais com que se preocupar

Há problemas novos dos agentes, e a governança de identidade não os resolve. A injeção de prompt é real. O problema do confused deputy também, em que um agente com acesso legítimo é manipulado para usá-lo indevidamente, assim como o encadeamento autônomo de ações entre sistemas. Esses pertencem a uma camada defensiva separada, e quem afirma que o menor privilégio os resolve está exagerando. A afirmação mais restrita é a que se sustenta: a camada de identidade e acesso do risco dos agentes (ou seja, quem é o agente, o que ele pode alcançar, por quanto tempo e se esse acesso está sendo abusado) é uma disciplina que o setor já pratica em outros lugares. A defesa contra injeção de prompt é a fronteira em que vale a pena investir. A exposição que entra pela porta este ano é mais banal do que isso. É uma credencial permanente que nunca expira, em uma identidade que ninguém revisa.

Seu portfólio de segurança de identidade deve incluir e abordar os agentes

O ciclo de vida do agente se encaixa perfeitamente nos controles que já abrangem todo o tecido de identidade. Governar e revisar identidades não humanas junto com as humanas é governança de identidade, o trabalho do Netwrix Identity Manager. Remover o privilégio permanente e emitir acesso delimitado e just-in-time é gerenciamento de acesso privilegiado, tratado pelo Netwrix Privilege Secure. E quando uma identidade válida é conduzida por mãos erradas, pegá-la em flagrante é detecção e resposta a ameaças à identidade, onde se encaixa o Netwrix Threat Manager. Um fornecedor pontual que vende uma ferramenta independente de identidades não humanas está construindo exatamente o programa paralelo que o mercado foi levado a achar que precisa. A alternativa é executar uma única disciplina de identidade para humanos e máquinas e deixar que ela cubra os agentes também.

A força de trabalho de máquinas é contratada sem integração e nunca é desligada. Ela detém mais chaves do que os humanos ao seu lado e trabalha 24 horas por dia, agindo onde ninguém está olhando. Trate cada agente como o que ele é, uma identidade com acesso, e a porta pela qual a UNC6395 passou em mais de 700 organizações se torna uma que você pode fechar com os controles que já estão no seu stack.