Durante os últimos anos, a indústria de cibersegurança consolidou um novo consenso: o perímetro tradicional deixou de existir e a identidade assumiu seu lugar como principal elemento de proteção dos ambientes digitais. A expansão da computação em nuvem, do trabalho distribuído, das APIs e das arquiteturas de Zero Trust deslocou o foco da defesa das fronteiras da rede para o controle de quem acessa determinado recurso, o que pode acessar e em quais condições.
A ascensão da inteligência artificial agêntica
Agora, porém, uma nova variável altera novamente essa dinâmica. A ascensão da IA agêntica introduziu um elemento que não estava presente quando a identidade começou a ser tratada como perímetro. Diferentemente dos modelos generativos, que respondem a comandos, agentes de IA executam tarefas, tomam decisões, interagem com outros agentes e podem delegar atividades de maneira relativamente autônoma.
Na prática, eles deixam de representar apenas uma identidade digital para se tornarem uma identidade capaz de executar ações em nome de pessoas, áreas de negócio ou processos corporativos. As implicações desse novo cenário são amplas. Se um agente negocia uma contratação, aprova um pagamento, altera uma configuração crítica ou acessa informações confidenciais, a pergunta deixa de ser apenas quem executou determinada ação.
Rastreabilidade e responsabilidade
Torna-se necessário compreender em nome de quem ela foi realizada, quais permissões sustentaram aquela decisão, quais critérios orientaram sua execução e quem responde pelos seus efeitos. Quanto maior a autonomia concedida a esses sistemas, maior será a necessidade de estabelecer mecanismos capazes de atribuir responsabilidades de forma inequívoca, preservando a rastreabilidade das decisões e os limites de atuação de cada identidade.
O mercado já começa a responder a essa realidade. Diferentes iniciativas regulatórias discutem identidades digitais para agentes de IA, critérios de supervisão humana, requisitos de rastreabilidade e estruturas específicas de governança para sistemas autônomos. O debate indica que o próximo estágio da governança estará na capacidade de demonstrar como esses agentes exercem sua autonomia durante a execução de uma atividade.
Limitações dos modelos tradicionais de identidade
Esse movimento também evidencia limitações dos modelos tradicionais de identidade. Os registros de auditoria informam com precisão o que aconteceu. Entretanto, nem sempre conseguem explicar por que aconteceu. Em ambientes compostos por múltiplos agentes, nos quais uma decisão gera outras em cadeia, reconstruir a origem de uma ação torna-se significativamente mais complexo.
Muito além dos logs de autenticação, a rastreabilidade passa a exigir contexto, intenção, delegação de autoridade e histórico completo das interações entre agentes. Existe ainda outro aspecto que merece atenção. Sempre que ocorre uma falha envolvendo sistemas autônomos, a reação natural é identificar um responsável humano. Embora compreensível, essa abordagem pode ocultar a origem do problema.
Vulnerabilidades sistêmicas na automação
Em muitos casos, o incidente decorre da ausência de políticas para criação e gestão de identidades não humanas, da concessão excessiva de privilégios, da falta de critérios para delegação de autoridade ou da inexistência de mecanismos consistentes de supervisão. Concentrar toda a responsabilização no último elo da cadeia dificulta a correção das vulnerabilidades que permitiram o incidente.
Próximos passos para governança de identidade
Nesse contexto, a próxima evolução da identidade terá a governança como foco. Isso significa administrar todo o ciclo de vida das identidades humanas e não humanas, estabelecer limites claros para autonomia, definir níveis de confiança proporcionais ao risco, revisar privilégios continuamente e garantir que decisões automatizadas possam ser compreendidas, auditadas e atribuídas a uma cadeia de responsabilidades verificável.
O papel estratégico do CISO
A identidade continua sendo o novo perímetro, mas essa afirmação, isoladamente, não traduz a complexidade do cenário atual. Em um ambiente no qual agentes inteligentes executam processos de negócio, a identidade se consolida como o elo entre tecnologia, risco, conformidade e responsabilidade corporativa. As organizações que compreenderem essa mudança deixarão de investir apenas em plataformas de identidade. Investirão em modelos de governança capazes de administrar autonomia em escala.
Perguntas frequentes
- Como auditar ações de agentes de IA? É necessário implementar ferramentas de monitoramento de comportamento que registrem não apenas o acesso, mas a lógica de decisão e o contexto da ação.
- Quais são os riscos de privilégios excessivos? Conceder permissões administrativas a agentes sem supervisão aumenta drasticamente o risco de movimentação lateral e exfiltração de dados.
- A LGPD se aplica a agentes de IA? Sim, pois as decisões tomadas por agentes afetam dados pessoais e exigem transparência e accountability conforme a legislação brasileira.