Segurança
O agente não precisa de acesso total. Quase nunca precisa
Acesso amplo é dado porque é rápido e porque funciona. Os dois motivos são reais, e nenhum dos dois é bom. A conta chega no dia em que ele faz exatamente o que você permitiu.
Quando alguém configura um agente pela primeira vez, a permissão que ele recebe costuma ser a mais ampla disponível.
Não por descuido. Por dois motivos legítimos: é mais rápido, e evita erro chato durante o teste.
Os dois motivos são reais. E os dois cobram depois.
Por que essa decisão nunca é revisitada
Porque permissão excessiva não tem sintoma.
Um agente com acesso a tudo funciona exatamente igual a um agente com acesso mínimo, enquanto nada dá errado. Não fica lento, não dá erro, não gera alerta.
A diferença entre os dois só aparece num único momento: quando alguma coisa sai do previsto. Aí o acesso deixa de ser detalhe de configuração e vira o tamanho do estrago.
É o mesmo desenho dos problemas de segurança clássicos, com um agravante: o agente age sozinho e rápido.
A pergunta errada e a certa
A pergunta que todo mundo faz ao configurar: de que ele precisa pra funcionar?
Essa pergunta produz permissão generosa, porque na dúvida você inclui.
A pergunta certa é outra: qual é o pior resultado possível com esse acesso?
Não estou falando de agente malicioso. Estou falando de instrução mal formulada, dado inesperado, laço que repete. O agente vai fazer exatamente o que você permitiu, com a competência de sempre, na direção errada.
Se a resposta pra pergunta certa for "ele poderia apagar a base de clientes", não importa que ele nunca vá fazer isso. Importa que ele pode.
Três coisas que quase nenhum agente precisa
Apagar. A imensa maioria das tarefas úteis não envolve remoção. Se for necessário, marca como inativo em vez de apagar, e assim existe volta.
Acesso a todos os registros. Ele precisa dos registros do escopo dele. Um agente que triagem chamados não precisa alcançar a tabela financeira.
Enviar pra fora sem revisão. Mensagem que sai da empresa é irreversível de um jeito particular: não dá pra despublicar a impressão do destinatário.
O que fazer em vez de acesso total
Começa somente com leitura. Ele lê e propõe; a aplicação é sua. Vale como padrão nas primeiras semanas de qualquer agente novo.
Expõe operação, não o sistema. Em vez de acesso ao banco, uma consulta específica. Em vez do disco, uma pasta. É a granularidade que o MCP permite e que quase ninguém usa.
Credencial própria. Agente com credencial dedicada permite ver o que ele fez e revogar sem afetar mais ninguém. Agente usando a credencial de uma pessoa mistura os rastros e torna a auditoria impossível.
Ambiente separado dos primeiros testes. Antes de tocar em dado real, ele trabalha numa cópia. Vale a mesma lógica de separar dado real de dado de teste.
Se o seu já está com acesso amplo
O conserto é mais fácil do que parece, e não exige redesenhar nada.
Abre o registro das últimas semanas e vê o que ele de fato usou. Reduz a permissão pra esse conjunto. Observa o que quebra.
Quase sempre acontece a mesma coisa: ele usava uma fração pequena do que tinha. O resto era risco parado, sem contrapartida nenhuma.
O argumento que sempre aparece
"Mas assim eu vou ter que ficar ajustando permissão toda hora."
Vai, às vezes. E cada ajuste é uma conversa de dois minutos sobre uma coisa que o agente passou a precisar.
A alternativa é não ter conversa nenhuma até o dia em que a conversa é sobre o que aconteceu.
Permissão é a única defesa que funciona mesmo depois que tudo mais falhou.
A decisão é sua.
Perguntas frequentes
Perguntas rápidas
+Por que dar acesso amplo é tão comum?
Porque funciona de primeira e economiza o trabalho de descobrir a permissão mínima. Como não gera sintoma enquanto nada dá errado, a decisão nunca é revisitada.
+Qual pergunta fazer ao configurar permissão?
Qual é o pior resultado possível com esse acesso. Não o que ele precisa para funcionar, mas o que ele conseguiria fazer se recebesse uma instrução mal formulada ou um dado inesperado.
+Acesso de leitura é sempre seguro?
É bem mais seguro que escrita, mas não é neutro: leitura ampla permite que dado sensível saia em respostas e relatórios. Vale limitar também o que pode ser lido.
+Como corrigir um agente que já está com acesso amplo?
Revise o que ele realmente usou nas últimas semanas pelo registro, reduza a permissão para esse conjunto e observe o que quebra. É mais rápido que redesenhar do zero e costuma revelar que ele usava uma fração do que tinha.
Continue lendo
Como usar IA em cima de dado sensível sem entregar o dado
Dá pra corrigir prova, analisar contrato e resumir atendimento com IA sem mandar nome, CPF e documento pro modelo. A técnica é simples e quase ninguém aplica.
SegurançaOs 3 lugares por onde dado sensível vaza num app feito com IA
Não é hacker. Na prática, quase todo vazamento em app feito com IA vem de três lugares chatos e previsíveis. Os três dão pra conferir hoje, sem ser programador.
SegurançaComo separar dado real de dado de teste (o que a LGPD cobra)
Testar com a base de produção é o atalho mais comum e o mais caro. Separar ambiente é mais simples do que parece, e a LGPD não trata isso como detalhe.