Funcionários criam agentes de IA por conta própria, e 93% das conexões desnecessárias têm acesso total

Imagine: um diretor financeiro passa uma noite criando um agente que consulta os relatórios e responde a perguntas. É prático, então ele o compartilha com os colegas. Ninguém invadiu nada, mas agora qualquer pessoa que escreva para esse agente no chat está, na prática, trabalhando com as permissões do CFO. Foi exatamente esse o caso descrito pelo Business Insider, e é possivelmente o maior risco da IA corporativa neste momento.

O problema não são os hackers, mas os entusiastas

Assistentes de IA como Copilot, ChatGPT, Claude e Gemini já estão instalados em quase todas as grandes empresas. Mas, em paralelo, profissionais de marketing, contadores e advogados criam seus próprios agentes por meio de vibe coding ou construtores low-code. Para eles, o resultado é óbvio: conectar uma planilha, ligar algumas ferramentas e compartilhar com o departamento. As permissões de acesso não preocupam ninguém, e um funcionário sem perfil técnico muitas vezes simplesmente não tem meios de entendê-las: ele não é um engenheiro DevOps.

A escala, segundo a startup Opsin, impressiona. 93% das conexões de que o agente não precisa para sua tarefa tinham acesso total a todo o sistema. Um exemplo clássico: um agente ajuda a registrar férias, mas tem acesso ao banco de dados de salários. E apenas uma conexão em cada 200 exigia confirmação humana antes de agir. Os números vêm do próprio fornecedor, então devem ser vistos como uma referência, e não como uma auditoria independente. Mas a direção é clara.

O motivo é simples: por padrão, o agente herda as permissões de seu criador. Quanto mais alto o cargo do autor, mais perigosa é a sua criação. E o compartilhamento transforma o assistente pessoal em uma porta dos fundos coletiva.

Como a Opsin combate isso

Os fundadores da empresa vieram da Abnormal Security, onde o antiphishing é construído não sobre assinaturas, mas sobre comportamento: um e-mail é suspeito se não se parece com o jeito habitual do remetente. Eles levaram a mesma abordagem para os agentes. A Opsin se conecta aos Copilot, ChatGPT, Claude e Gemini corporativos, encontra todos os agentes caseiros e abre um dossiê para cada um: quem criou, para quê, quais ferramentas estão conectadas, quais dados o agente enxerga e com quem ele foi compartilhado.

Depois, o sistema acompanha o comportamento. Se o «assistente de férias» de repente mexe nos relatórios financeiros, ele é enviado para quarentena e o proprietário recebe uma notificação. A lógica do CEO da empresa é esta: não dá para olhar dentro da cabeça de um agente, então é preciso julgá-lo pelos atos. Na semana passada, a Opsin anunciou uma rodada de $21M.

O que fazer na prática

Para desenvolvedores e equipes de segurança, a conclusão é desagradável, mas útil. Primeiro, faça um inventário: quantos agentes já existem na empresa e quem os criou. Quase certamente mais do que você imagina. Segundo, proíba os agentes de funcionar com as permissões pessoais do autor: são necessárias contas de serviço separadas, com o conjunto mínimo de acessos para a tarefa específica. Terceiro, para ações de gravação, exclusão e envio para fora, exija confirmação humana, ainda que isso desacelere a mágica da automação.

Equipes de produto que desenvolvem plataformas no-code e construtores corporativos de agentes devem pensar nos padrões. Se, por padrão, o agente recebe todas as permissões do usuário, esse é um bug de vocês, e não culpa do profissional de marketing. Mostrem a que o agente está conectado e avisem ao compartilhar.

A abordagem também tem limitações. O monitoramento comportamental detecta anomalias depois do fato e exige um período de aprendizado, e um agente que já tem permissões excessivas desde o início e faz coisas habituais para ele pode passar despercebido. Por isso o monitoramento complementa o princípio do menor privilégio, mas não o substitui.

Em resumo: a principal ameaça da IA no escritório, por enquanto, não parece uma máquina rebelde, mas um funcionário dedicado com um link compartilhado. Os agentes realmente precisam de seu próprio «departamento de RH», e o mercado para isso já está se formando.