Governança de agentes não é opcional: uma checklist prática
Uma versão dessa história aparece com frequência nas conversas com clientes — mudam os nomes, mas o roteiro é parecido. Um time dá a um agente acesso para executar uma tarefa útil. O agente começa a agir e, semanas depois, alguém percebe que ele vinha fazendo aquilo de um jeito errado. Não por má-fé: apenas errado, com confiança suficiente para passar despercebido por tempo demais.
A lição não é que “a IA não está pronta”. É que autonomia sem controles aposta que nada vai dar errado — e essa não é uma aposta razoável para sistemas conectados à produção. Governar agentes não exige inventar tudo do zero. Exige aplicar princípios conhecidos de identidade, acesso, supervisão e auditoria a sistemas que agem com velocidade e escala. O governo australiano, por exemplo, destaca que a governança de sistemas multiagentes pode aproveitar práticas organizacionais já conhecidas, como limitar permissões, separar funções e manter trilhas de auditoria (relatório sobre riscos e controles para sistemas multiagentes).
A Glean também propõe o framework AWARE para estruturar essa conversa: entender quem está agindo e com qual intenção, definir limites para a autonomia, avaliar riscos em tempo de execução e manter observabilidade do ecossistema (apresentação do framework AWARE).
Antes de permitir que um agente execute ações em produção, eu começaria por quatro controles básicos.
1. Permissões delimitadas
O agente deve receber apenas os acessos necessários para a tarefa — e nada além disso. Parece simples, mas é tentador reaproveitar a conta de serviço disponível, mesmo quando ela tem privilégios muito mais amplos. É justamente esse tipo de atalho que transforma um erro limitado em um problema difícil de detectar.
Na prática, isso significa dar ao agente uma identidade própria, restringir as ferramentas e ações disponíveis e revisar o acesso quando a tarefa ou o fluxo mudar. A orientação da Microsoft sobre privilégio mínimo para agentes recomenda identidades dedicadas, escopos definidos e controles adicionais para operações de alto impacto. A IBM, em português, também destaca o princípio do menor privilégio e da agência mínima.
A documentação de segurança da Glean descreve como os agentes respeitam as permissões das fontes conectadas e, por padrão, executam com a identidade e as permissões de quem iniciou a execução. Para agentes que precisam de identidade e atribuição próprias, a Glean documenta também o modelo de identidade de agente.
2. Aprovação humana para ações de alto impacto
Nem toda ação precisa parar para uma pessoa aprovar. Mas ações difíceis de reverter — como enviar uma comunicação externa, apagar dados ou movimentar dinheiro — merecem uma barreira antes da execução, não apenas uma revisão posterior.
A aprovação deve acompanhar o risco e a reversibilidade da ação. Tarefas rotineiras e de baixo impacto podem seguir de forma autônoma; ações sensíveis podem exigir confirmação, limites de valor ou uma segunda aprovação. Essa abordagem em níveis é recomendada na lente de arquitetura de IA agêntica da AWS, que sugere calibrar a supervisão humana conforme o impacto e a possibilidade de reversão.
Como exemplo de implementação, a documentação da Glean explica que ferramentas de escrita em agentes usados no app web pedem confirmação antes da execução por padrão. Há exceções configuráveis para fluxos em segundo plano; por isso, o artigo trata a aprovação como um controle a definir conforme o risco, não como uma garantia automática em qualquer configuração.
3. Trilhas de auditoria que alguém consiga usar
Registre o que o agente fez, quando fez, com quais ferramentas e sob qual autorização — e preserve contexto suficiente para entender o motivo e o resultado. Um registro técnico pode ser útil para sistemas; para uma revisão humana, também precisa ser legível e pesquisável.
Sem esse histórico, investigar um problema vira um exercício de reconstrução. Com registros consistentes, fica mais fácil identificar o que aconteceu, avaliar o impacto e corrigir o controle. A Microsoft recomenda validar a cobertura de logs, a revogação de acesso e a capacidade de resposta; a AWS também inclui o registro das decisões de supervisão. A Glean documenta logs de auditoria para ações de agentes e controles administrativos. Como os logs podem conter dados sensíveis, defina também quem pode acessá-los e por quanto tempo serão mantidos.
4. Um mecanismo de parada testado
Um “botão de emergência” não pode existir apenas num documento de arquitetura. As pessoas responsáveis precisam saber como acioná-lo, e o controle precisa interromper novas ações e lidar com as que já estão em andamento — incluindo tarefas enfileiradas e credenciais que ainda permitam ao agente agir.
Teste o procedimento antes de depender dele num incidente: quem pode parar o agente, o que exatamente para, como o acesso é revogado e como a operação é retomada com segurança. A orientação da Microsoft sobre agentes inclui validar fluxos de revogação e resposta; o relatório australiano sobre sistemas multiagentes também trata a capacidade de manter supervisão e controle como parte central da governança.
Na Glean, a documentação do AI Security Overview descreve políticas que podem bloquear uma execução e registrar o evento quando uma regra é acionada. Esse é um exemplo de controle de execução; não deve ser confundido, por si só, com um mecanismo universal que interrompa todo trabalho em andamento ou revogue todas as credenciais do ambiente. Esses quatro pontos não cobrem todos os riscos, nem substituem uma avaliação adequada ao caso de uso. São um ponto de partida para tratar agentes em produção com o mesmo rigor aplicado a qualquer sistema que possa alterar dados ou agir em nome da empresa — talvez com ainda mais cuidado, já que o valor do agente está justamente em executar etapas sem uma pessoa acompanhando cada uma delas.
Nas conversas de governança que conduzo como parte do meu trabalho na Glean, volto a essa checklist porque ela ajuda a tornar a discussão concreta: que acesso o agente tem, quais ações exigem aprovação, o que fica registrado e como interromper a execução? Quando essas respostas são definidas desde o início, a equipe pode avançar com mais clareza sobre os limites e as responsabilidades. A disciplina inicial não precisa ser um obstáculo; pode evitar que a confiança precise ser reconstruída depois de um incidente.
Para aprofundar
Establish tiered human oversight and approval workflows — AWS Well-Architected Agentic AI Lens
Risks and controls for multi-agent systems — Australian Department of Industry
Como governar com eficácia agentes de IA de terceiros em toda a empresa — IBM
Human-in-the-loop confirmations for write tools — Glean Help Center
Comentários