# Permissões mínimas e riscos de agentes de IA: o que dar, o que negar e quando pedir aprovação

> Um agente de IA age com o acesso que você dá. OWASP, OpenAI e Anthropic convergem em quatro ideias: poucas ferramentas, só leitura quando possível, aprovação humana para o que não dá para desfazer e testes em ambiente isolado. Veja uma escada de permissões, uma classificação de risco e um checklist.

- Editoria: Pro
- Autor: Redação PushTech
- Publicado em: 2026-10-24T20:20:00-03:00
- URL canônica: https://pushtech.tech/pro/permissoes-minimas-e-riscos-de-agentes-de-ia-o-que-dar-o-que-negar-e-quando-pedir-aprovacao

Um agente de IA, diferente de um chatbot, não só responde: usa ferramentas e executa passos. Por isso o risco muda de lugar. Em vez de "a resposta pode estar errada", passa a ser "a ação pode ser feita errada, com o acesso que você deu". **A regra que as fontes repetem é simples: dê ao agente o menor acesso que a tarefa pede, peça sua aprovação antes do que não dá para desfazer e teste em ambiente isolado antes de confiar.** Este artigo mostra como aplicar isso, com uma escada de permissões e uma classificação de ações.

> **Nota:** ferramentas e planos mudam com frequência. Os recursos citados refletem as páginas oficiais lidas em outubro de 2026. Confirme na documentação atual antes de configurar.

Se você ainda não leu, comece por [o que é um agente de IA e como ele difere de chatbot e de automação](/pro/o-que-e-um-agente-de-ia-e-como-difere-de-chatbot-e-de-automacao), que dá o vocabulário usado aqui.

## O risco tem nome: agência excessiva

A OWASP, projeto aberto de segurança, lista na sua relação de riscos para aplicações com modelos de linguagem o item **"Excessive Agency" (agência excessiva)**, LLM06:2025. A página o descreve como a vulnerabilidade que permite que **ações danosas sejam executadas** quando o modelo produz saídas inesperadas, ambíguas ou manipuladas, seja qual for a causa do erro.

Segundo a página, o problema costuma vir de uma ou mais de três causas:

| Causa | Em português simples |
| --- | --- |
| **Funcionalidade excessiva** | O agente tem mais ferramentas ou funções do que a tarefa exige |
| **Permissões excessivas** | As ferramentas operam com acesso maior que o necessário |
| **Autonomia excessiva** | Ações de alto impacto acontecem sem alguém aprovar |

O ponto importante é que **o erro pode vir de fora**: um e-mail, uma página ou um documento com instruções escondidas podem manipular a saída do modelo (é o que se chama de *prompt injection*). Se o agente tem o acesso certo para fazer estrago, o estrago é possível mesmo que ele "queira" ajudar.

## O que as fontes recomendam

A OWASP lista oito medidas de prevenção. Em resumo:

1. **Minimizar as extensões:** ofereça só as que o agente precisa.
2. **Minimizar a funcionalidade de cada extensão:** só as funções que a tarefa exige.
3. **Evitar extensões abertas demais**, como executar comandos de terminal, e preferir ferramentas estreitas.
4. **Minimizar as permissões**, por exemplo com acesso somente leitura a um banco de dados.
5. **Executar com o contexto do usuário**, com a identidade e o acesso mínimo dele.
6. **Exigir aprovação** do usuário nas ações de alto impacto.
7. **Mediação completa:** a autorização deve ser aplicada pelos sistemas de destino, e não depender do julgamento do modelo.
8. **Limpar entradas e saídas** do modelo.

A página acrescenta que registro, monitoramento e limite de taxa não evitam o problema, mas **limitam o dano**.

O **guia da OpenAI** diz que proteções (os "guardrails") funcionam em camadas, nunca sozinhas, e **devem vir junto com autenticação, autorização e controle de acesso**. Recomenda **classificar cada ferramenta como de risco baixo, médio ou alto**, considerando se é leitura ou escrita, se é reversível, que permissões de conta exige e qual o impacto financeiro, e usar essa nota para pausar, checar ou **passar a um humano**. E aponta dois gatilhos de intervenção humana: **passar de um limite de falhas** e **ações sensíveis, irreversíveis ou de alto risco**, como cancelar pedidos, autorizar reembolsos grandes ou fazer pagamentos, até que a confiança no agente cresça.

A **Anthropic**, em "Building effective agents", avisa que a autonomia traz **custos maiores e a chance de erros que se acumulam**, recomenda **testar bastante em ambiente isolado**, com proteções, e descreve agentes que **pausam para feedback humano** em pontos de checagem ou diante de bloqueios, com **condições de parada**, como um número máximo de iterações. Recomenda ainda desenhar as ferramentas para dificultar o erro (o "poka-yoke").

## Um exemplo concreto: como o Claude Code trata permissões

A documentação de segurança do Claude Code, da Anthropic, ilustra essas ideias num produto real, e por isso serve de exemplo (outras ferramentas têm configurações próprias):

- No **modo manual**, a ferramenta **começa só com permissão de leitura** e pede sua autorização antes de editar arquivos, rodar testes ou executar comandos. Você escolhe aprovar uma vez ou liberar daí em diante.
- Comandos que buscam conteúdo na internet, como `curl` e `wget`, **não são aprovados automaticamente** por padrão, e você pode bloqueá-los por regra.
- Há um **modo automático**, em que um **modelo classificador separado** revisa as ações no seu lugar e bloqueia as que considera inseguras. É uma escolha de conveniência, que troca parte da sua revisão por outra camada de IA.
- A ferramenta tem um **limite de pasta de trabalho**, mas a página avisa que ele é um pedido de permissão: **um comando aprovado por você ainda pode escrever onde a sua conta de usuário pode.** Para restringir de verdade, a documentação indica o **isolamento (sandbox)**.
- A página diz que **você é responsável por revisar** o que aprova e que, **apesar das proteções, nenhum sistema é totalmente imune a ataques**.

A lição vale para qualquer agente: uma proteção que depende de você clicar "aprovar" só funciona se você de fato lê o que aprova.

## A escada de permissões (da Redação)

Esta é uma forma prática de combinar as fontes. Comece no degrau 1 e só suba quando a etapa anterior se mostrar confiável em tarefas reais.

| Degrau | O que o agente pode fazer | Quando usar |
| --- | --- | --- |
| **1. Só ler** | Consultar arquivos, planilhas ou páginas escolhidos, sem alterar nada | Sempre o ponto de partida |
| **2. Propor** | Escrever rascunhos e sugestões que só você aplica | Quando a leitura estiver boa |
| **3. Agir com aprovação** | Executar a ação depois do seu "sim", item por item | Para ações úteis, mas que têm efeito |
| **4. Agir sozinho** | Executar sem pedir | Só para ações de baixo risco, reversíveis e sem custo, depois de teste |

E uma classificação de ações, no espírito do que a OpenAI sugere para ferramentas:

| Risco | Exemplos | O que fazer |
| --- | --- | --- |
| **Baixo** | Ler, buscar, resumir, listar | Pode liberar, com registro |
| **Médio** | Criar rascunho, mover arquivo, editar uma cópia | Liberar com limite e desfazer fácil |
| **Alto** | Enviar e-mail ou mensagem, publicar, apagar, pagar, alterar acesso | **Aprovação humana sempre**, e conta ou limite separados |

## Antes de ligar um agente à sua conta: o checklist

1. **Qual é a tarefa, em uma frase?** O que não estiver nela não precisa de acesso.
2. **Que ferramentas ele precisa?** Ofereça só essas, e prefira ferramentas estreitas a um acesso aberto, como um terminal.
3. **Dá para começar só com leitura?** Se der, comece.
4. **Que conta ele usa?** Prefira uma conta ou um perfil com acesso limitado, e não a sua conta principal. Veja como [proteger e-mail e contas principais](/pro/como-proteger-email-e-contas-principais-senha-verificacao-em-duas-etapas-passkeys).
5. **Quais ações não têm volta?** Enviar, pagar, apagar e publicar pedem seu "sim".
6. **Há limites de tentativas, de tempo e de custo?** Sem condição de parada, um erro se repete.
7. **Que dados ele vê?** Não conecte o que você não colaria numa conversa. Releia [é seguro colar dados da empresa em IA](/pro/e-seguro-colar-dados-da-empresa-no-chatgpt-gemini-ou-claude).
8. **O que vem de fora é tratado como suspeito?** E-mails, páginas e anexos podem esconder instruções.
9. **Existe registro das ações?** Se não dá para ver o que ele fez, não dá para auditar.
10. **Você testou com dados fictícios, em ambiente isolado?** Só depois use dados reais.

## O que não fazer

- **Não use a sua conta principal** (e-mail, banco, redes) para um teste.
- **Não aprove em sequência sem ler.** O clique automático desfaz a proteção.
- **Não libere "tudo" para evitar perguntas.** O custo é perder justamente a trava das ações de alto risco.
- **Não confie só numa camada.** Pedido de aprovação, limites, isolamento e registro se somam.
- **Não deixe o agente decidir sozinho o que ele pode fazer.** A autorização deve ficar no sistema de destino, e não no julgamento do modelo.

## Para continuar

Veja o que fazer quando o agente for uma [automação no Zapier](/pro/zapier-para-iniciantes-primeira-automacao-plano-gratis-e-limites), onde as permissões também são decididas na hora de conectar cada app, e a análise sobre o [agent washing](/por-tras/agent-washing-gartner-40-por-cento-projetos-ia-agentica), para não pagar por um "agente" que é só um rótulo.

## Perguntas frequentes

### O que é agência excessiva em IA?
É o nome que a OWASP dá ao risco de um agente ter funcionalidade, permissões ou autonomia além do necessário, de modo que uma saída inesperada, ambígua ou manipulada possa causar uma ação danosa.

### O que significa privilégio mínimo para um agente de IA?
Dar só as ferramentas, as funções e os acessos que a tarefa exige, de preferência com acesso somente leitura e sob a identidade do usuário, como recomenda a OWASP.

### Quando um agente precisa de aprovação humana?
Para ações sensíveis, irreversíveis ou de alto risco, como pagamentos, cancelamentos e envio de mensagens, e quando ele passa de um limite de falhas, segundo o guia da OpenAI.

### O que é prompt injection?
É a tentativa de manipular as instruções de um assistente de IA inserindo texto malicioso, por exemplo num e-mail ou numa página que o agente lê. A documentação do Claude Code o descreve assim e lista salvaguardas, mas diz que nenhum sistema é totalmente imune.

### O modo automático dispensa minha revisão?
Não totalmente. Na documentação do Claude Code, o modo automático usa um classificador separado para revisar e bloquear ações, e continua respeitando suas regras de permitir e negar. É uma camada a mais, e não uma garantia.

### Um agente pode apagar meus arquivos?
Se ele tiver permissão de escrita ou de execução de comandos, sim. Por isso as fontes recomendam começar só com leitura, exigir aprovação para apagar e testar em ambiente isolado, com dados fictícios.

## Fontes

- [LLM06:2025 Excessive Agency](https://genai.owasp.org/llmrisk/llm062025-excessive-agency/), OWASP GenAI Security Project (2025-01-01)
- [A practical guide to building agents](https://cdn.openai.com/business-guides-and-resources/a-practical-guide-to-building-agents.pdf), OpenAI
- [Building effective agents](https://www.anthropic.com/engineering/building-effective-agents), Anthropic (2024-12-19)
- [Security (Claude Code)](https://code.claude.com/docs/en/security), Anthropic