Microsoft detalha modelo de privilégio mínimo para identidade e acesso de agentes de IA
A Microsoft publicou um guia técnico descrevendo como agentes de IA autônomos tendem a acumular privilégios além do necessário e como a integração entre múltiplas ferramentas cria combinações de acesso que nenhum sistema avalia isoladamente. O documento propõe um modelo de identidade dedicada por agente, RBAC granular por tarefa, concessão de privilégios just-in-time e auditoria fim a fim como resposta a esses riscos.
O Microsoft Security Blog publicou, em 16 de julho de 2026, um guia de orientação sobre segurança de identidade e acesso para agentes de IA, motivado pelo crescimento de agentes autônomos operando com credenciais próprias em ambientes corporativos.
O artigo identifica três riscos técnicos centrais: escalonamento silencioso de privilégios, em que agentes provisionados com papéis amplos (como "Reader") acumulam permissões extras ao longo do tempo sem revisão adequada; acesso combinado entre sistemas, em que um agente conectado simultaneamente a e-mail, arquivos, tickets e repositórios passa a ter uma permissão efetiva — correlacionar dados de fontes distintas — que nenhuma ferramenta individual autorizaria isoladamente; e ambiguidade de identidade, a falta de clareza sobre se o agente age sob identidade própria ou por delegação de um usuário, o que compromete auditoria e responsabilização em caso de incidente.
Como resposta, a Microsoft recomenda identidade dedicada por agente (com dono nomeado e propósito documentado, não segredos compartilhados), gerenciamento de credenciais com rotação e revogação rápidas, RBAC organizado por tarefa discreta em vez de por equipe, múltiplos limites de escopo (recurso, dado e tipo de operação), separação de funções para operações de alto impacto como exclusão ou exportação, allowlist explícita de ferramentas aprovadas, concessão just-in-time de privilégios temporários e logs de auditoria fim a fim capturando identidade, papel, escopo e ação.
O ponto relevante é que modelos de IAM tradicionais, pensados para contas de serviço estáticas com papéis fixos, não foram desenhados para agentes que decidem dinamicamente quais ferramentas invocar a cada tarefa. É exatamente essa lacuna de granularidade e de rastreabilidade que ataques como prompt injection exploram para transformar acesso legítimo, mas mal escopado, em ação maliciosa.