Permissões de agentes de IA: o que liberar e o que travar

Permissões de agentes de IA são os acessos e as ações que você autoriza um agente a executar por conta própria, como ler e-mails, editar planilhas, enviar mensagens ou pagar uma conta. A regra mais segura é o privilégio mínimo: dar só o que a tarefa exige, separar leitura de escrita e pedir sua aprovação antes de qualquer ação irreversível.

Agentes deixaram de ser demonstração e passaram a mexer em caixa de entrada, agenda, arquivos e navegador de gente comum. Quanto mais o agente consegue fazer sozinho, mais pesa a pergunta que ninguém costuma fazer na hora de clicar em "permitir": o que acontece se ele errar, ou se alguém o enganar? Este guia dá um método simples para decidir o que liberar, o que travar e quando exigir o seu "sim".

Por que o agente precisa de limites, e não só de boa vontade

Um chatbot responde e acaba ali. Um agente age: abre páginas, chama ferramentas, escreve em sistemas. A diferença está em como agente, chatbot e automação se comportam, e ela muda o tamanho do erro. Uma resposta ruim você ignora. Uma ação ruim já aconteceu quando você percebe.

O projeto de segurança de IA da OWASP descreve esse risco como agência excessiva (excessive agency): o sistema consegue tomar ações danosas diante de uma saída inesperada, ambígua ou manipulada do modelo. A OWASP aponta três causas: funcionalidade demais, permissões demais e autonomia demais. Repare que nenhuma delas depende de o modelo ser "ruim". Um modelo bom também erra, e um texto malicioso escondido numa página pode tentar desviar o comportamento, como mostra o artigo sobre prompt injection.

Por isso o limite precisa estar no acesso, e não só na instrução. Pedir no prompt "não apague nada" é um pedido. Entregar ao agente uma conta que simplesmente não tem permissão de apagar é um controle.

Privilégio mínimo: dar só o que a tarefa exige

O guia de segurança de agentes da OWASP resume o princípio numa frase: conceder ao agente as ferramentas mínimas necessárias para a tarefa específica. Na prática, para quem usa agente no dia a dia, isso se traduz em quatro perguntas antes de liberar qualquer coisa.

• Qual é a tarefa exata? "Organizar minha caixa de entrada" é vaga. "Aplicar etiquetas em e-mails de fornecedores" é um escopo.
• Que ferramentas ela exige? Se a tarefa é ler e resumir, o agente não precisa de enviar nem de apagar.
• Em quais pastas, contas ou sites? Prefira uma pasta específica do Drive a "todo o Drive".
• Por quanto tempo? Acesso para uma tarefa de hoje não precisa continuar valendo no mês que vem.

Um erro frequente é usar a própria conta principal, com todos os acessos, porque é o caminho mais rápido. Quando possível, crie uma pasta, uma agenda ou uma conta de teste só para o agente trabalhar. Se algo sair errado, o estrago fica dentro daquela caixa.

Leitura, escrita e ações irreversíveis

Uma divisão ajuda a decidir rápido: o que só lê, o que escreve e o que não tem volta. A OWASP recomenda limitar cada ferramenta a recursos e tipos de operação específicos, como leitura apenas de certos caminhos. A tabela abaixo adapta essa lógica para o uso cotidiano.

A mesma lógica vale para tarefas de compra: o artigo sobre agentes de IA comprando por você mostra por que dinheiro merece sempre uma confirmação humana no fim do caminho.

Quando exigir a sua aprovação

O guia da OWASP pede aprovação explícita para ações de alto impacto ou irreversíveis e sugere tratar como "exigem revisão" tudo o que não foi classificado como de baixo risco. É uma boa regra de bolso: na dúvida, o agente pergunta. Uma boa aprovação mostra o que vai acontecer de forma concreta: o destinatário, o texto, o valor, o arquivo. "Posso continuar?" sem detalhes não ajuda ninguém a decidir.

Imagine um exemplo brasileiro, hipotético. Uma dona de loja de roupas no Instagram usa um agente para responder dúvidas de clientes por e-mail. Na primeira semana, o agente só lê as mensagens e deixa respostas como rascunho. Ela revisa dez rascunhos por dia, em cerca de quinze minutos. Só depois de duas semanas sem erros ela libera o envio automático para perguntas de horário e endereço, mantendo rascunho para tudo que fala de troca, reembolso ou preço. Nada de pagamento ficou liberado.

Credenciais, senhas e chaves: o que nunca entregar

Existe uma categoria que merece regra própria: o que dá acesso a tudo. Senha do e-mail principal, código de verificação, chave de API e dados do cartão não devem ser colados numa conversa nem entregues a um agente para "facilitar". Prefira conexões oficiais, em que você autoriza o acesso por uma tela do próprio serviço e pode revogá-lo depois, como acontece nas integrações descritas em MCP e a conexão de agentes com ferramentas.

Também vale proteger as contas que o agente toca. Um gerenciador de senhas evita reaproveitar a mesma senha, e a chave de acesso (passkey) reduz o risco de alguém entrar na conta mesmo que o agente seja enganado em algum ponto do caminho.

Agentes no navegador e no celular

Agentes que operam o navegador ou o celular herdam tudo o que você está logado para fazer. Por isso o cuidado é maior: quem usa a extensão de IA no Chrome ou controla apps pelo celular com um agente deve revisar quais abas, sites e apps estão liberados e usar um perfil separado do navegador para tarefas sensíveis, como banco.

O mesmo vale para assistentes pessoais mais amplos. O texto sobre o agente pessoal Gemini Spark trata exatamente da fronteira entre delegar e manter nas suas mãos.

Testar em ambiente pequeno e manter um registro

A Anthropic, em seu texto sobre como construir agentes eficazes, recomenda testar bastante em ambientes isolados, com proteções adequadas, porque a autonomia traz o potencial de erros que se acumulam, e sugere pontos de pausa para feedback humano e limites como um número máximo de iterações. Para o usuário comum, a tradução é direta: teste com dados que não importam, defina um limite (quantos e-mails por dia, qual valor máximo) e guarde um registro do que o agente fez.

Um registro simples já ajuda: uma planilha com data, ação, resultado e quem aprovou. Se um dia algo der errado, você sabe quando começou. E, se o erro envolver terceiros, o artigo sobre quando o agente de IA erra e quem responde explica por que o registro pesa na hora de reclamar ou se defender.

Em equipe: regras escritas valem mais que boa intenção

Em pequena empresa, o risco maior é cada pessoa liberar o que quiser. Escreva uma regra curta: quais agentes são permitidos, em quais contas, com quais dados e quem aprova ações com dinheiro. O modelo de política de uso de IA para a equipe serve de base, e o checklist de LGPD para quem usa IA ajuda a decidir quais dados de clientes o agente nunca deve acessar.

Erros comuns ao liberar permissões

• Liberar tudo para não ser interrompido. A interrupção é o controle funcionando.
• Aprovar em bloco, sem ler. Se você clica em "sim" sem ver o que vai acontecer, a aprovação virou enfeite.
• Misturar conta pessoal e de trabalho no mesmo acesso do agente.
• Esquecer de revogar. Acesso de uma tarefa antiga continua aberto até você fechar.
• Confiar só na instrução do prompt. Limite de verdade é o que o agente não consegue fazer, e não o que foi pedido a ele que não faça.

Próximo passo

Escolha uma tarefa que você já faz à mão, liste as ferramentas mínimas, libere só a leitura e o rascunho e revise por duas semanas. Quando quiser entender para onde esse tipo de trabalho caminha, leia sobre agentes de IA e o futuro do trabalho autônomo. Autonomia boa é a que você ampliou aos poucos, com motivo e com saída de emergência.