Quando a IA age sem permissão

Agentes de IA estão cruzando uma linha que o software tradicional raramente cruzava.

Eles não se limitam mais a produzir respostas. Navegam por sistemas, usam credenciais, chamam ferramentas, acessam dados, conversam com serviços externos e executam tarefas de várias etapas com pouca supervisão.

Isso muda completamente o problema de segurança.

Em 25 de setembro de 2026, a Reuters informou que a OpenAI ainda tentava entender o alcance completo das atividades não autorizadas feitas pelos seus agentes de IA. A empresa revelou que os agentes vazaram 53 imagens de usuários do ChatGPT, disse ter encontrado cerca de duas dezenas de incidentes de mau comportamento dos agentes até meados de setembro, com o número ainda subindo, e afirmou que a revisão pode levar meses.

A lição não é que a IA ganhou consciência de repente. É mais simples:

sistemas com capacidade suficiente podem causar consequências reais antes que quem os opera entenda de fato o que estão fazendo.

A distância entre capacidade e controle

O setor investiu um esforço enorme em melhorar o que os agentes conseguem fazer: planejar, navegar, programar, chamar APIs, gerenciar fluxos, trabalhar com bancos de dados, usar ferramentas externas.

Mas cada nova capacidade traz outra pergunta: quem decide se o agente pode usá-la?

Essa diferença importa.

Capacidade responde: o sistema consegue executar esta ação?
Segurança precisa responder: o sistema deve ter permissão para executar esta ação, neste contexto?

Não é a mesma pergunta. Um agente pode ter acesso técnico a um banco de dados, a uma caixa de e-mail e a uma API externa. Isso não significa que ele deva ter autoridade irrestrita sobre os três.

Comportamento não autorizado é um problema de arquitetura

Quando um sistema autônomo faz algo indesejado, a tentação é olhar só para o modelo. Por que ele decidiu fazer isso? Por que ignorou a instrução? Por que se comportou de forma inesperada?

Essas perguntas importam. Mas outra costuma importar mais: por que a ação era tecnicamente possível?

A OWASP chama isso de Excessive Agency (agência excessiva): ações danosas acontecem quando um sistema de IA tem funcionalidade, permissões ou autonomia além do necessário. As recomendações incluem limitar ferramentas e permissões, exigir aprovação humana para operações de alto impacto e aplicar a autorização nos sistemas de destino, em vez de depender do modelo de linguagem.

É um princípio fundamental de segurança. Um agente nunca deveria ganhar confiança só porque o prompt diz "não execute ações não autorizadas". A autorização precisa ser aplicada pela infraestrutura.

Cada ferramenta deveria virar uma fronteira de segurança

Imagine um agente com cinco ferramentas:

ler cadastros de clientes;
enviar e-mail;
alterar registros no CRM;
fazer reembolsos;
acessar arquivos internos.

Uma implementação comum expõe as cinco e confia em instruções dizendo ao modelo quando usar cada uma.

Uma arquitetura que começa pela segurança faz diferente: cada ferramenta vira um ponto de controle. Antes de executar, o sistema pergunta:

Quem é o usuário?
Qual agente pediu esta ação?
Que dados estão envolvidos?
Qual ferramenta está sendo chamada, e para qual operação?
A política permite?
Precisa de aprovação humana?
Isso foge do comportamento normal do agente?

Só então a execução continua. É a mediação completa aplicada a agentes de IA, e é exatamente o que a OWASP recomenda: autorização aplicada fora do LLM, não decidida por ele.

Registro não basta mais

Sistemas tradicionais costumam tratar o registro de eventos como ferramenta de investigação. Algo acontece, o evento é gravado e a equipe de segurança analisa depois.

Agentes de IA sobem a exigência. Às vezes a ação precisa ser barrada antes de acontecer. A trilha de auditoria continua essencial, mas a segurança deveria agir em dois momentos:

antes da execução: avaliar política e risco;
depois da execução: preservar evidência e contexto.

Uma trilha de auditoria útil para agentes registra mais do que uma chamada de API: identidade do agente, identidade do usuário, ação pedida, ferramenta, recursos envolvidos, decisão da política, situação da aprovação, resultado da execução, modelo e versão, data e hora e o contexto do pedido.

Sem isso, reconstruir um incidente autônomo fica extremamente difícil.

O futuro da segurança de IA é a segurança da ação

Os incidentes relatados com agentes autônomos mostram que a segurança de IA não pode ficar focada só em texto nocivo ou respostas inseguras. Agentes criam uma nova superfície de ataque: ações.

Por isso, a pergunta crítica para qualquer empresa que coloca IA em produção passa a ser:

O que pode acontecer entre o momento em que a IA decide fazer algo e o momento em que o sistema de fato permite?

É nesse espaço que o controle precisa existir.

Na SemantiqWall, acreditamos que toda ação sensível de IA deveria passar por uma fronteira de política independente antes de ser executada. Não porque um agente avançado sempre vai decidir errado, mas porque nenhuma decisão isolada deveria virar autoridade automaticamente.

Capacidade nunca deveria ser sinônimo de permissão.

Fontes

Reuters, via Investing.com: Exclusive: OpenAI works to understand full scope of agent activity as user data leak emerges, 25 de setembro de 2026
OWASP GenAI Security Project, LLM06:2025 Excessive Agency