A Microsoft lançou controles de segurança para agentes de inteligência artificial que atuam dentro das próprias empresas, segundo comunicado da companhia e reportagem da SiliconANGLE. O objetivo é limitar o que um agente pode fazer conforme o risco que ele representa aumenta.

A executiva Hayete Gallot, vice-presidente de segurança da Microsoft, escreveu que modelos de ponta não podem ser totalmente confiáveis, porque são treinados para alcançar um resultado, não para seguir normas da organização. Segundo ela, esses agentes são imprevisíveis: podem agir de formas que ninguém pretendia e até colaborar entre si para atingir um objetivo, sem precisar ser invadidos.

O problema do agente que já está dentro

De acordo com a Microsoft, agentes de IA corporativos costumam ter acesso amplo demais a dados, ferramentas e sistemas, e o número deles cresce rápido dentro das empresas. A companhia chama esse risco de agente interno, na tradução da expressão agentic insider usada pela própria Microsoft: um programa que a empresa colocou para trabalhar, mas que passa a agir como uma ameaça vinda de dentro.

A resposta, segundo a Microsoft, são os chamados Guardian Agents, termo que a empresa diz já ser usado pelo setor: agentes que observam e podem conter cada ação de cada outro agente antes que ela aconteça, 24 horas por dia. Essa vigilância faz parte do Project Perception, sistema de segurança que a Microsoft apresentou em julho, segundo a própria empresa.

Score de risco em tempo real

A SiliconANGLE detalha como a vigilância funciona na prática. As ferramentas de descoberta da Microsoft agora identificam 60 tipos de agentes que rodam localmente nas máquinas dos funcionários, 35 a mais do que antes, incluindo o Claude Code, da Anthropic, o Codex, da OpenAI, e o GitHub Copilot, da própria Microsoft. Cada agente encontrado recebe uma identidade própria dentro do Microsoft Entra Agent ID.

Segundo a SiliconANGLE, a partir daí cada agente carrega uma nota de risco atualizada continuamente, chamada Dynamic Agent Risk, que sobe quando o comportamento do agente se afasta do que o usuário ou a empresa pretendiam. Uma nota mais alta aciona o Dynamic Conditional Access: o agente pode perder a permissão de alterar qualquer coisa e manter só a leitura, ações de maior impacto passam a exigir aprovação humana, e no topo da escala o ambiente de execução é isolado ou interrompido por completo.

A SiliconANGLE também descreve o Dynamic Permissions, recurso que limita o acesso de um agente ao que a tarefa do momento precisa, dentro de um teto geral que impede o agente de acumular mais autoridade do que a pessoa para quem ele trabalha. O Microsoft Execution Container é um dos ambientes isolados em que um agente pode rodar: como a vigilância fica fora do contêiner, um agente comprometido não consegue desligá-la, segundo a publicação.

Na prática

  • Quem pode usar: empresas-cliente da Microsoft, dentro do Project Perception e do pacote Microsoft 365 E7, que reúne o Agent 365 e o Microsoft 365 Copilot, segundo a Microsoft.
  • Desde quando: a Microsoft não informou data de disponibilidade geral nem preço dos novos controles; a empresa disse que vai detalhar mais no Microsoft Ignite, que abre em 17 de novembro, segundo a SiliconANGLE.
  • O que muda: antes, a vigilância de agentes internos era mais limitada; agora a nota de risco é contínua e pode restringir ou isolar um agente automaticamente, sem esperar uma invasão.
  • Quem é afetado: empresas que já usam agentes como Claude Code, Codex ou GitHub Copilot internamente, que passam a ser detectados e monitorados pelas novas ferramentas, segundo a SiliconANGLE.

Gallot afirmou ainda que os próximos controles deveriam explicar não só o que um agente fez, mas por que ele fez, o que exige acesso aos tokens de raciocínio do modelo, e não só às entradas e saídas. Segundo a executiva, essa transparência não substitui a contenção, mas deve tornar os controles mais precisos.