A autenticação no login é insuficiente para agentes de IA. Descobre por que a verificação contínua de ações é a nova estratégia de segurança necessária.
A segurança digital tradicional, focada na autenticação no momento do login, tornou-se insuficiente perante a ascensão dos agentes de Inteligência Artificial (IA) autónomos. Segundo uma análise publicada pela TechRadar Pro, a estratégia de segurança deve transitar de um modelo de 'confiança de perímetro' para uma verificação contínua, que acompanha a atividade do agente após o acesso inicial ter sido concedido.
O desafio da independência dos agentes
Ao contrário de contas de serviço tradicionais, que seguem código estático, os agentes de IA interpretam objetivos, analisam contextos em tempo real e selecionam as suas próprias ferramentas. Esta capacidade de julgamento independente introduz riscos, uma vez que o login oficial apenas confirma a identidade do agente, mas não garante que as ações subsequentes sejam seguras ou éticas.
Para gerir este risco, a TechRadar Pro sugere que as equipas de segurança devem categorizar os agentes por níveis de independência e aplicar controlos proporcionais:
- Agentes Conversacionais (GenAI): Focados em produtividade, exigem controlo de acesso baseado em funções (RBAC) e registo de atividades.
- Agentes com Guardrails: Ferramentas que preparam atualizações ou e-mails, exigindo aprovação humana para ações de escrita, eliminação ou envio de dados externos.
- Agentes Totalmente Autónomos: Exigem as restrições mais rigorosas, incluindo limites de taxa, monitorização em tempo real e trilhas de auditoria inalteráveis.
Consequências práticas para a gestão de segurança
A implementação desta abordagem exige que as empresas identifiquem onde residem os seus riscos. Uma consequência direta deste modelo é a necessidade de uma arquitetura de visibilidade que permita inspecionar o prompt humano, a resposta do agente e as ferramentas utilizadas em tempo real. Outra implicação é a obrigatoriedade de definir pontos de intervenção humana (human-in-the-loop) para fluxos de trabalho críticos, como alterações em bases de dados de produção ou execução de código.
Para quem gere infraestruturas tecnológicas, o exercício prático recomendado é mapear um fluxo de trabalho de IA existente: identificar a identidade digital, o nível de acesso a ficheiros e os pontos onde uma decisão errada pode ser revertida. Se não for possível bloquear o acesso ou explicar o comportamento do agente após o facto, os controlos de segurança atuais são considerados insuficientes.
Google Cloud lança certificação Professional Agentic Architect
NVIDIA define novas regras de segurança para agentes de IA: o que muda para as empresas
Agentes de IA em Minecraft: a tendência para a burocracia em enxames