Um agente de IA, diferente de um chatbot, não só responde: usa ferramentas e executa passos. Por isso o risco muda de lugar. Em vez de "a resposta pode estar errada", passa a ser "a ação pode ser feita errada, com o acesso que você deu". A regra que as fontes repetem é simples: dê ao agente o menor acesso que a tarefa pede, peça sua aprovação antes do que não dá para desfazer e teste em ambiente isolado antes de confiar. Este artigo mostra como aplicar isso, com uma escada de permissões e uma classificação de ações.
Nota: ferramentas e planos mudam com frequência. Os recursos citados refletem as páginas oficiais lidas em outubro de 2026. Confirme na documentação atual antes de configurar.
Se você ainda não leu, comece por o que é um agente de IA e como ele difere de chatbot e de automação, que dá o vocabulário usado aqui.
O risco tem nome: agência excessiva
A OWASP, projeto aberto de segurança, lista na sua relação de riscos para aplicações com modelos de linguagem o item "Excessive Agency" (agência excessiva), LLM06:2025. A página o descreve como a vulnerabilidade que permite que ações danosas sejam executadas quando o modelo produz saídas inesperadas, ambíguas ou manipuladas, seja qual for a causa do erro.
Segundo a página, o problema costuma vir de uma ou mais de três causas:
| Causa | Em português simples |
|---|---|
| Funcionalidade excessiva | O agente tem mais ferramentas ou funções do que a tarefa exige |
| Permissões excessivas | As ferramentas operam com acesso maior que o necessário |
| Autonomia excessiva | Ações de alto impacto acontecem sem alguém aprovar |
O ponto importante é que o erro pode vir de fora: um e-mail, uma página ou um documento com instruções escondidas podem manipular a saída do modelo (é o que se chama de prompt injection). Se o agente tem o acesso certo para fazer estrago, o estrago é possível mesmo que ele "queira" ajudar.
O que as fontes recomendam
A OWASP lista oito medidas de prevenção. Em resumo:
- Minimizar as extensões: ofereça só as que o agente precisa.
- Minimizar a funcionalidade de cada extensão: só as funções que a tarefa exige.
- Evitar extensões abertas demais, como executar comandos de terminal, e preferir ferramentas estreitas.
- Minimizar as permissões, por exemplo com acesso somente leitura a um banco de dados.
- Executar com o contexto do usuário, com a identidade e o acesso mínimo dele.
- Exigir aprovação do usuário nas ações de alto impacto.
- Mediação completa: a autorização deve ser aplicada pelos sistemas de destino, e não depender do julgamento do modelo.
- Limpar entradas e saídas do modelo.
A página acrescenta que registro, monitoramento e limite de taxa não evitam o problema, mas limitam o dano.
O guia da OpenAI diz que proteções (os "guardrails") funcionam em camadas, nunca sozinhas, e devem vir junto com autenticação, autorização e controle de acesso. Recomenda classificar cada ferramenta como de risco baixo, médio ou alto, considerando se é leitura ou escrita, se é reversível, que permissões de conta exige e qual o impacto financeiro, e usar essa nota para pausar, checar ou passar a um humano. E aponta dois gatilhos de intervenção humana: passar de um limite de falhas e ações sensíveis, irreversíveis ou de alto risco, como cancelar pedidos, autorizar reembolsos grandes ou fazer pagamentos, até que a confiança no agente cresça.
A Anthropic, em "Building effective agents", avisa que a autonomia traz custos maiores e a chance de erros que se acumulam, recomenda testar bastante em ambiente isolado, com proteções, e descreve agentes que pausam para feedback humano em pontos de checagem ou diante de bloqueios, com condições de parada, como um número máximo de iterações. Recomenda ainda desenhar as ferramentas para dificultar o erro (o "poka-yoke").
Um exemplo concreto: como o Claude Code trata permissões
A documentação de segurança do Claude Code, da Anthropic, ilustra essas ideias num produto real, e por isso serve de exemplo (outras ferramentas têm configurações próprias):
- No modo manual, a ferramenta começa só com permissão de leitura e pede sua autorização antes de editar arquivos, rodar testes ou executar comandos. Você escolhe aprovar uma vez ou liberar daí em diante.
- Comandos que buscam conteúdo na internet, como
curlewget, não são aprovados automaticamente por padrão, e você pode bloqueá-los por regra. - Há um modo automático, em que um modelo classificador separado revisa as ações no seu lugar e bloqueia as que considera inseguras. É uma escolha de conveniência, que troca parte da sua revisão por outra camada de IA.
- A ferramenta tem um limite de pasta de trabalho, mas a página avisa que ele é um pedido de permissão: um comando aprovado por você ainda pode escrever onde a sua conta de usuário pode. Para restringir de verdade, a documentação indica o isolamento (sandbox).
- A página diz que você é responsável por revisar o que aprova e que, apesar das proteções, nenhum sistema é totalmente imune a ataques.
A lição vale para qualquer agente: uma proteção que depende de você clicar "aprovar" só funciona se você de fato lê o que aprova.
A escada de permissões (da Redação)
Esta é uma forma prática de combinar as fontes. Comece no degrau 1 e só suba quando a etapa anterior se mostrar confiável em tarefas reais.
| Degrau | O que o agente pode fazer | Quando usar |
|---|---|---|
| 1. Só ler | Consultar arquivos, planilhas ou páginas escolhidos, sem alterar nada | Sempre o ponto de partida |
| 2. Propor | Escrever rascunhos e sugestões que só você aplica | Quando a leitura estiver boa |
| 3. Agir com aprovação | Executar a ação depois do seu "sim", item por item | Para ações úteis, mas que têm efeito |
| 4. Agir sozinho | Executar sem pedir | Só para ações de baixo risco, reversíveis e sem custo, depois de teste |
E uma classificação de ações, no espírito do que a OpenAI sugere para ferramentas:
| Risco | Exemplos | O que fazer |
|---|---|---|
| Baixo | Ler, buscar, resumir, listar | Pode liberar, com registro |
| Médio | Criar rascunho, mover arquivo, editar uma cópia | Liberar com limite e desfazer fácil |
| Alto | Enviar e-mail ou mensagem, publicar, apagar, pagar, alterar acesso | Aprovação humana sempre, e conta ou limite separados |
Antes de ligar um agente à sua conta: o checklist
- Qual é a tarefa, em uma frase? O que não estiver nela não precisa de acesso.
- Que ferramentas ele precisa? Ofereça só essas, e prefira ferramentas estreitas a um acesso aberto, como um terminal.
- Dá para começar só com leitura? Se der, comece.
- Que conta ele usa? Prefira uma conta ou um perfil com acesso limitado, e não a sua conta principal. Veja como proteger e-mail e contas principais.
- Quais ações não têm volta? Enviar, pagar, apagar e publicar pedem seu "sim".
- Há limites de tentativas, de tempo e de custo? Sem condição de parada, um erro se repete.
- Que dados ele vê? Não conecte o que você não colaria numa conversa. Releia é seguro colar dados da empresa em IA.
- O que vem de fora é tratado como suspeito? E-mails, páginas e anexos podem esconder instruções.
- Existe registro das ações? Se não dá para ver o que ele fez, não dá para auditar.
- Você testou com dados fictícios, em ambiente isolado? Só depois use dados reais.
O que não fazer
- Não use a sua conta principal (e-mail, banco, redes) para um teste.
- Não aprove em sequência sem ler. O clique automático desfaz a proteção.
- Não libere "tudo" para evitar perguntas. O custo é perder justamente a trava das ações de alto risco.
- Não confie só numa camada. Pedido de aprovação, limites, isolamento e registro se somam.
- Não deixe o agente decidir sozinho o que ele pode fazer. A autorização deve ficar no sistema de destino, e não no julgamento do modelo.
Para continuar
Veja o que fazer quando o agente for uma automação no Zapier, onde as permissões também são decididas na hora de conectar cada app, e a análise sobre o agent washing, para não pagar por um "agente" que é só um rótulo.
Perguntas frequentes
O que é agência excessiva em IA?
É o nome que a OWASP dá ao risco de um agente ter funcionalidade, permissões ou autonomia além do necessário, de modo que uma saída inesperada, ambígua ou manipulada possa causar uma ação danosa.
O que significa privilégio mínimo para um agente de IA?
Dar só as ferramentas, as funções e os acessos que a tarefa exige, de preferência com acesso somente leitura e sob a identidade do usuário, como recomenda a OWASP.
Quando um agente precisa de aprovação humana?
Para ações sensíveis, irreversíveis ou de alto risco, como pagamentos, cancelamentos e envio de mensagens, e quando ele passa de um limite de falhas, segundo o guia da OpenAI.
O que é prompt injection?
É a tentativa de manipular as instruções de um assistente de IA inserindo texto malicioso, por exemplo num e-mail ou numa página que o agente lê. A documentação do Claude Code o descreve assim e lista salvaguardas, mas diz que nenhum sistema é totalmente imune.
O modo automático dispensa minha revisão?
Não totalmente. Na documentação do Claude Code, o modo automático usa um classificador separado para revisar e bloquear ações, e continua respeitando suas regras de permitir e negar. É uma camada a mais, e não uma garantia.
Um agente pode apagar meus arquivos?
Se ele tiver permissão de escrita ou de execução de comandos, sim. Por isso as fontes recomendam começar só com leitura, exigir aprovação para apagar e testar em ambiente isolado, com dados fictícios.
Fontes
- LLM06:2025 Excessive Agency, OWASP GenAI Security Project (2025-01-01)
- A practical guide to building agents, OpenAI
- Building effective agents, Anthropic (2024-12-19)
- Security (Claude Code), Anthropic