A identidade como pilar de controle para agentes autônomos

Agentes de inteligência artificial autenticam, invocam ferramentas e atuam em sistemas corporativos com autoridade delegada. A gestão de identidade e acesso (IAM) para esses agentes representa a arquitetura de controle de identidade que governa esses atores. Este guia aborda os limites do provisionamento convencional, os componentes essenciais, como avaliar opções de framework e quais evidências em tempo de execução comprovam que um agente se comportou conforme o planejado.

O abismo entre intenção e execução

IAM para agentes de IA trata cada agente como uma identidade não humana com um proprietário humano, propósito definido, autorização escopo, expiração e monitoramento contínuo. A complicação é arquitetônica. Plataformas de IAM expressam o acesso pretendido, enquanto aplicações e infraestrutura revelam o que o agente executou de fato.

Entre os dois existe a matéria escura da identidade: os agentes, credenciais, contas locais de aplicação e caminhos de autenticação que dados centrais de identidade nunca reportam. Um framework incapaz de observar essa superfície produz intenção de política, não garantia.

Limites do IAM tradicional

Plataformas de IAM geralmente operam em duas dimensões. No tempo de design, gerenciam ciclo de vida, definição de políticas, provisionamento e fluxos de entrada, movimentação e saída. No tempo de execução, aplicam autenticação e autorização via logon único (SSO) e verificações de acesso no perímetro da aplicação.

Ambas as dimensões descrevem o acesso como configurado. Nenhuma descreve o que um agente autônomo fez com esse acesso uma vez dentro da aplicação. Um usuário humano segue tipicamente um caminho de tarefa previsível. Um agente encadeia tarefas, seleciona ferramentas dinamicamente e compõe ações que nenhuma revisão de direitos antecipou.

Agência excessiva e o risco de configuração estática

O Top 10 da OWASP para Aplicações de Grandes Modelos de Linguagem nomeia esse modo de falha diretamente como agência excessiva (LLM06): um agente com ampla funcionalidade, permissões ou autonomia exerce capacidade além de sua tarefa aprovada. Atribuição estática de função não consegue limitar esse comportamento, e revisão de configuração não consegue medi-lo.

Identidades de agentes são comumente criadas por automação de infraestrutura, pipelines de implantação ou equipes de aplicação, em vez de eventos de ciclo de vida orientados por RH. Elas, portanto, contornam fluxos de trabalho de governança que captam anomalias de acesso humano e se acumulam fora do inventário no qual relatórios de conformidade dependem.

Três pilares para um framework eficaz

Como essas falhas abrangem ciclo de vida, autorização e tempo de execução, um framework para agentes costuma ser montado em vez de comprado pronto. Os componentes se dividem claramente: estabelecer quem o agente é, restringir o que ele pode fazer e provar o que ele fez.

  • Identidade distinta e atribuível: Cada agente requer identidade própria, nunca uma conta de serviço compartilhada nem credencial humana emprestada. Atribuição é pré-condição para todo controle subsequente, pois evidências de auditoria que não separam atividade de agente de atividade humana não suportam conformidade em nível de implementação.
  • Credenciais de curta duração e federação: O design deve favorecer federação de identidade de carga de trabalho e credenciais de vida curta, rotacionadas automaticamente, em vez de segredos embutidos. Quando um agente age em nome de usuário, a Troca de Token OAuth 2.0 (RFC 8693) provê semântica de delegação e personificação que preserva a distinção entre a identidade do agente e a autoridade que lhe foi emprestada.
  • Autorização próxima à ação: A família de controle de acesso (AC) na NIST SP 800-53 Rev. 5 aplica-se a identidades de agentes sem modificação, incluindo menor privilégio (AC-6), segregação de funções (AC-5) e limites de autorização explícitos. O ponto de aplicação, porém, deve situar-se mais perto da ação do que um gateway de login.

Monitoramento comportamental e evidência forense

Controles de tempo de design tornam-se defensáveis apenas quando o ambiente mostra o que o agente executou. O Framework de Gestão de Risco de IA do NIST (AI 100-1) trata responsabilidade e transparência como características de confiabilidade que dependem de comportamento de sistema rastreável. A família de auditoria e responsabilização (AU) na SP 800-53 assume registros suficientes para reconstruir uma sequência de ações, não apenas o registro de que uma política existia.

Monitoramento para agentes deve ser comportamental, não apenas baseado em logs. Ataques de identidade, incluindo abuso de contas válidas (T1078) e técnicas de escalada de privilégio catalogadas no MITRE ATT&CK, geram registros de autenticação de aparência normal porque as credenciais são legítimas.

Detecção depende da comparação entre a tarefa pretendida do agente e sua execução real entre aplicações e infraestrutura, além da capacidade de revogar autoridade delegada quando as duas divergem. Essa comparação é a lente de seleção para o próprio framework.

Critérios de avaliação: velocidade de revogação e qualidade da prova

Velocidade de revogação e qualidade de evidência são as duas capacidades que avaliações de framework mais frequentemente ignoram, pois funcionalidades de provisionamento são mais fáceis de demonstrar. A questão sobre qual framework IAM usar para agentes de IA é melhor respondida avaliando padrões de arquitetura contra a cadeia completa de controle, da propriedade à evidência de execução, em vez de contar conectores. A ponderação difere por ambiente: uma empresa regulada com obrigações de certificação otimiza de forma diferente de uma equipe rodando um único agente interno.

Extensão do programa existente como ponto de partida

Para a maioria das empresas que já executam um programa de governança de identidade, estender a plataforma IAM existente é a posição inicial razoável. Fluxos de trabalho de ciclo de vida, cadeias de aprovação, ciclos de certificação e governança de política já existem, e reconstruí-los para agentes fragmenta um programa de identidade que costuma ser fragmentado o suficiente.

Com informações de: The Hacker News