Google tira Data Agent Kit da preview e separa guardrails de agentes entre skills e IAM

O que é o Data Agent Kit

O Data Agent Kit é um conjunto de ferramentas MCP↳MCP7 conteúdosArquitetura de Sistemas Cognitivos: Integração de RAG, MCP e LLMs no Ecossistema .NETDev (Back & Front) · abr 2026MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025Agentes de IA com LLMs de Código Aberto: Integração Prática com o Model Context Protocol (MCP)AI · ago 2025Ver tudo em AI → (Model Context Protocol) que conecta agentes de codificação a mais de 15 serviços do Google Data Cloud, segundo o anúncio da Google. Junto das ferramentas vêm skills escritas pela própria Google, com boas práticas como otimizar SQL↳SQL64 conteúdosSQL Server – Como evitar SQL Injection?Data · mai 2019Azure SQL DB Managed InstanceData · abr 2019SQL Server – Como evitar SQL Injection? Pare de utilizar Query Dinâmica como EXEC(@Query)Data · abr 2019Ver tudo em Data → do BigQuery ou desenhar row keys para o Bigtable.

O toolkit roda em editores como Antigravity, Claude Code, Codex, Cursor e qualquer ambiente compatível com VS Code, e já vem pré-instalado no Cloud Shell e no Cloud Workstations. É gratuito além do custo dos serviços do Google Cloud↳Google Cloud13 conteúdosPrograma da Google Cloud no Brasil projeta formar de forma gratuita 30 mil universitáriosDev (Back & Front) · mar 2026Google Cloud OnBoard capacita estudantes e desenvolvedores de TIGestão Dev & TI · mai 2019Desenvolvedores poderão participar de treinamento gratuito do Google CloudGestão Dev & TI · mai 2019Ver tudo em DevSecOps → consumidos, e o repositório de skills é open source↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) → sob licença Apache 2.0.

O gerente de produto Arun Nair e o developer advocate Jeff Nelson, autores do post de lançamento, resumem o problema que o kit ataca: agentes escrevem SQL razoável, mas não sabem quais tabelas existem, como são particionadas, em quais o time confia, ou por que o job de ontem à noite falhou.

Da preview ao GA

O Data Agent Kit rodou em preview ao longo do verão norte-americano de 2026 antes de atingir disponibilidade geral (GA), conforme o InfoQ. Com o GA, a Google adicionou suporte a BigQuery Graph, Bigtable e ao Managed Service for Apache Spark, ampliando a lista de serviços cobertos pelas 15 integrações já existentes.

O repositório de skills tem versionamento formal: a 1.0.0 foi lançada em 29 de setembro de 2026 e a 1.1.0 em 13 de outubro de 2026. Isso permite que times fixem (pin) uma versão específica em produção em vez de depender de um main que muda sem aviso, prática já comum em pipelines de CI/CD mas pouco usual em kits de IA generativa.

Dois tipos de guardrail, dois níveis de garantia

O ponto mais relevante para quem for colocar isso em produção é a distinção que a Google faz entre dois tipos de controle. Uma das 37 skills do repositório, chamada accidental-data-loss-prevention, existe para impedir que o agente destrua dados por engano.

Sua descrição abre com "PARE E VERIFIQUE" e instrui o agente a obter consentimento explícito do usuário antes de qualquer ação irreversível, listando DROP TABLE, TRUNCATE, um DELETE sem cláusula WHERE ou com 1=1, exclusão de buckets em produção, gcloud projects delete e destruição de chaves KMS. O procedimento é parar, explicar o impacto e esperar confirmação.

Esse guardrail é um conselho. O agente é instruído a obedecê-lo, mas nada o impede tecnicamente de ignorar a instrução se o modelo interpretar mal o contexto. Um segundo controle, esse sim, não depende da boa vontade do modelo.

A trava técnica fica no IAM

Perguntado em um post no LinkedIn se seria possível isolar investigação somente leitura das ferramentas que alteram infraestrutura, Nelson respondeu que isso é resolvido no IAM, não por agente:

Rode o agente como uma conta de serviço somente leitura via personificação, ou use uma política de negação do IAM que bloqueia qualquer ferramenta MCP em que tool.isReadOnly seja false.

Run the agent as a read-only service account through impersonation, or use an IAM deny policy that blocks any MCP tool where tool.isReadOnly is false.Jeff Nelson, developer advocate no Google Cloud

A documentação do Google Cloud mostra a condição exata usada nessa política de negação:

api.getAttribute('mcp.googleapis.com/tool.isReadOnly', false) == false

Ela nega a permissão mcp.googleapis.com/tools.call e pode ser aplicada no nível de organização, pasta ou projeto, com atributos adicionais para resource.service e tool.name.

Três limites que ainda ficam em aberto

A abordagem tem lacunas que quem for implementar precisa conhecer antes de confiar cegamente no mecanismo:

• Uma ferramenta bloqueada ainda aparece em tools/list: o agente enxerga a capacidade e só descobre que não pode usá-la na hora de invocar.
• Os controles cobrem apenas servidores MCP do Google Cloud, nada além disso.
• Os atributos resource.service e tool.name só existem via gcloud, ausentes do console.

Outro ponto levantado por especialistas é o que acontece depois da trava de permissão. Ankit Dongre, engenheiro de IA na viaSocket, argumenta que o acesso via MCP é a parte fácil do problema:

O acesso via MCP é a parte fácil. O limite de produção é escopo de permissão mais execução segura contra repetição: o que acontece quando um agente tenta de novo uma escrita depois de um timeout, ou quando o schema muda no meio da execução?

MCP access is the easy part. The production boundary is permission scope plus repeat-safe execution: what happens when an agent retries a write after a timeout, or when the schema changes mid-run?Ankit Dongre, engenheiro de IA na viaSocket

Para Dongre, IAM e dry runs cobrem autorização e verificação prévia, mas não dizem ao agente se uma escrita que deu timeout foi de fato confirmada. Ele defende que um resultado de ferramenta deveria carregar uma chave de idempotência, status de commit e indicação de se a operação pode ser revertida, algo que o Data Agent Kit ainda não entrega.

Quem já testou, reage com cautela otimista

Amel Habira, arquiteto de soluções de IA, leu a documentação e destacou credenciais de curta duração, o atributo somente leitura e um aviso antes de o agente executar células de notebook:

Combine isso com branching e time travel do lado do Iceberg, e dá para imaginar contenção tanto na camada de acesso quanto na camada de dados.

Combine that with branching and time travel on the Iceberg side, and you can imagine containment at both the access layer and the data layer.Amel Habira, arquiteto de soluções de IA

Já Timon Knapp, fundador da Conductral (ferramenta de automação de workloads self-hosted), recomenda um caminho mais conservador para quem conecta agentes a sistemas como o Airflow:

Conectar agentes a ambientes vivos como o Airflow é poderoso. Depois de anos rodando lote em produção, eu começaria com acesso de leitura e sugestões, deixando um humano confirmar qualquer coisa que mude um agendamento ou dispare novamente um job. Uma trilha de auditoria limpa facilita muito dar mais permissões ao agente depois.

Connecting agents to live environments like Airflow is powerful. From running production batch for years I would start with read access and suggestions, and let a human confirm anything that changes a schedule or reruns a job. A clean audit trail makes it much easier to give the agent more rights later.Timon Knapp, fundador da Conductral

Como isso se compara ao que a Microsoft está fazendo

A Microsoft resolveu o mesmo problema de outro jeito com a integração do Agent 365 ao Azure API Management, hoje em preview pública. As abordagens divergem em onde fica a decisão e em que nível ela é aplicada:

O que muda para quem desenvolve no Brasil

Para times brasileiros que já usam BigQuery, Vertex AI ou Bigtable, o Data Agent Kit remove parte do trabalho de escrever integrações MCP do zero: a conexão com o schema ao vivo e as skills de boas práticas vêm prontas e versionadas, instaláveis no Cursor, Claude Code ou VS Code sem custo adicional além do consumo do Google Cloud.

Mas a notícia real para quem vai colocar isso em produção não é a conveniência, é a divisão de responsabilidade: a skill de prevenção de perda de dados é só uma instrução de prompt, que o modelo pode ignorar sob pressão de contexto. A trava que realmente impede um DROP TABLE indevido precisa ser configurada manualmente como política de negação no IAM, usando gcloud, já que o atributo não aparece no console.

Equipes de plataforma que pensam em liberar agentes para explorar dados de produção deveriam tratar essa configuração de IAM como pré-requisito, não como opção avançada, e considerar o conselho de Knapp de começar com contas somente leitura antes de liberar qualquer escrita.

Fonte: InfoQ