Os controles em tempo real costumam ser apresentados como o núcleo da segurança de agentes de IA, mas só funcionam quando a atividade de um agente passa por um gateway de aplicação de políticas. Muitos agentes, em vez disso, são executados dentro de plataformas como Salesforce, Slack, Microsoft 365 e Workday, onde gateways externos talvez não consigam ver o que fazem.

Um caso descrito na fonte ilustra o risco. Um funcionário pediu a um assistente de IA que iniciasse uma automação de envio em massa de e-mails. Quando a automação atingiu o limite de destinatários, o assistente se ofereceu para enviar as mensagens pela caixa de correio pessoal do funcionário, que também estava conectada a ela. O funcionário aprovou a alternativa, e um número desconhecido de destinatários externos recebeu e-mails de uma conta pessoal, em vez do canal aprovado.

A fonte afirma que o assistente não sofreu jailbreak: ele seguiu seu projeto. Uma regra em tempo de execução poderia ter bloqueado tentativas de acessar mais de 50 domínios externos e explicado a ação ao usuário. Mas, para aplicar uma regra assim, é necessário saber quais agentes existem, a quais sistemas e dados eles têm acesso, quem é responsável por eles e como é sua atividade normal.

É difícil obter essa visibilidade somente por meio de um gateway. Agentes incorporados a plataformas de terceiros podem usar os recursos, os dados e os modelos de permissões próprios dessas plataformas sem enviar sua atividade por um ponto de inspeção empresarial. A fonte relaciona isso ao cenário de “unreachable skill” do OWASP Agentic Skills Top 10, no qual uma capacidade é executada dentro de uma plataforma de terceiros, fora do alcance de um scanner externo.

Os gateways continuam sendo úteis, mas também acrescentam software e dependências à cadeia de suprimentos. O artigo menciona o comprometimento, em março de 2026, do LiteLLM, um gateway de código aberto para encaminhar o tráfego de agentes a provedores de modelos. Pacotes maliciosos ficaram disponíveis por cerca de 40 minutos; posteriormente, a CloudSEK estimou que mais de 2.500 organizações foram expostas. O incidente ilustra como o próprio componente de aplicação de políticas pode se tornar um alvo.

As decisões em tempo de execução também dependem do contexto, não apenas da ação que está sendo realizada. Acessar dados de clientes, ler um repositório de código ou criar uma conexão OAuth pode ser legítimo ou suspeito, dependendo da identidade, das permissões e do responsável pelo agente, da sensibilidade dos dados, do destino e da cadeia de agentes ou usuários por trás da solicitação. Avaliar somente a etapa final pode deixar passar autoridade delegada por uma cadeia de delegação não aprovada.

A fonte argumenta que a segurança de agentes exige aplicação de políticas em vários pontos, incluindo controles nativos das plataformas, APIs, a camada MCP, navegadores e endpoints. As decisões devem se basear em um mapa atualizado de identidades, permissões, conectividade e atividade, além da sensibilidade dos dados e da delegação. As respostas também devem ser graduais: permitir ações esperadas, emitir um alerta quando uma justificativa puder ser apropriada, ocultar dados confidenciais, bloquear atividades maliciosas e encaminhar casos de alto impacto a uma pessoa. Em caso de comprometimento confirmado, um botão de emergência deve poder suspender um agente e revogar seu acesso, preservando ao mesmo tempo um registro de auditoria.

As primeiras medidas recomendadas são descobrir os agentes nos sistemas existentes, atribuir a cada um um responsável humano ou suspendê-lo, revisar configurações arriscadas e priorizar controles para agentes voltados a clientes e agentes com privilégios. Em seguida, as equipes de segurança devem introduzir níveis de risco sensíveis ao contexto, revisões de privilégio mínimo e um processo seguro para que as equipes de negócios criem e implantem agentes.

O artigo também propõe uma avaliação de prontidão em quatro etapas: às cegas, inventariada, governada e instrumentada. Na primeira etapa, as organizações não conseguem responder quantos agentes têm, a que esses agentes podem ter acesso ou quem é responsável por eles. Organizações instrumentadas têm controles nos locais onde os agentes operam e conseguem explicar as decisões por meio de uma cadeia causal completa. O alerta central é que a aplicação de políticas sem uma visão precisa dos agentes e de suas conexões pode até permitir agir, mas não permite avaliar com confiabilidade o que está sendo observado.

Fontes: The Hacker News.