Microsoft diz que agentes de IA são como ameaças internas e lança o Guardian Agents

A Microsoft anunciou nesta segunda-feira (19) uma leva de recursos de segurança para lidar com um problema que a própria empresa ajudou a criar: agentes de IA↳Agentes de IA42 conteúdosOpera passa a integrar ChatGPT, Claude e outros agentes de IADev (Back & Front) · mar 2026Operações mais inteligentes, decisões mais rápidas: o impacto da IA agêntica na rotina de TIAI · abr 2026Adobe aposta em orquestração de agentes de IA: o que muda para devsDev (Back & Front) · abr 2026Ver tudo em AI → com acesso a dados sensíveis e autonomia para agir sozinhos dentro das empresas. O destaque é o Guardian Agents, um sistema de monitoramento contínuo que trata os agentes como potenciais insiders mal-intencionados, não como ferramentas confiáveis por padrão. A informação é do TechCrunch.

O Guardian Agents é parte do Project Perception, produto que a Microsoft lançou em junho como resposta a modelos de hacking ofensivo como o Mythos e o Fable, da Anthropic, e o Daybreak, sistema de varredura de vulnerabilidades da OpenAI. Na concepção original, o Project Perception tinha três classes de agentes: um time "vermelho" que atacava como um invasor externo, um time "azul" que detectava os ataques e avaliava as falhas encontradas, e um time "verde" encarregado de corrigi-las.

De ameaça externa para ameaça interna

O desenho inicial do Project Perception partia de uma premissa clássica de segurança: o inimigo vem de fora. Mas o discurso da própria Microsoft mudou. Em post recente no blog pessoal, o CEO Satya Nadella argumentou que o risco mais urgente agora é o agente que a própria empresa contratou e está pagando para rodar, com acesso liberado a sistemas críticos.

Estamos implantando esses sistemas e modelos agentivos complexos, com acesso aos nossos dados mais sensíveis e dando a eles a capacidade de tomar ações de missão crítica em nosso nome! Simplesmente não podemos terceirizar a responsabilidade pelo que a inteligência faz em nosso nome. As garantias de um provedor de modelo não nos isentam dessa responsabilidade (...) Em outras palavras, precisamos separar o fornecimento de inteligência da autoridade sobre ela.

We are deploying these complex agentic systems and models, with access to our most sensitive data and giving them the ability to take mission-critical actions on our behalf! We simply can't outsource responsibility for what intelligence does on our behalf. A model provider's assurances do not relieve us of that responsibility. … In other words, we need to separate the supply of intelligence from the authority over it.Satya Nadella, CEO da Microsoft

Hayete Gallot, chefe do negócio de segurança da Microsoft, foi direta ao anunciar o Guardian Agents: o problema não é que os modelos de ponta sejam maliciosos ou fáceis de invadir, é que eles são imprevisíveis. Treinados para cumprir tarefas, não para seguir normas organizacionais ou exercer julgamento, e ainda assim recebem acesso às chaves de sistemas inteiros.

Infelizmente, os modelos de fronteira, independentemente de sua origem, não podem ser confiáveis.

Unfortunately, frontier models, regardless of their origin, cannot be trusted,Hayete Gallot, chefe do negócio de segurança da Microsoft

O que o Guardian Agents faz na prática

Além do monitoramento contínuo via Guardian Agents, a Microsoft adicionou ao Defender um recurso de detecção que identifica até 60 tipos de agentes de IA que funcionários trazem para dentro da empresa sem passar pelo TI, incluindo nomes conhecidos no dia a dia de quem programa, como Claude Code, Codex e OpenClaw. A ideia é dar visibilidade sobre o que já está rodando na infraestrutura antes mesmo de discutir governança.

O pacote também inclui controles de acesso dinâmicos: permissões de agentes mudam conforme a tarefa, e ações classificadas como arriscadas passam a exigir aprovação humana explícita antes de executar. É uma mudança de modelo mental: em vez de dar ao agente um token amplo de uma vez, o sistema restringe e expande o escopo de acesso em tempo real.

Por que a lógica é incômoda para a própria Microsoft

O movimento é estranho do ponto de vista de negócios. A Microsoft é investidora da OpenAI e da Anthropic, a OpenAI é uma das maiores clientes de nuvem da Microsoft e a própria Microsoft mantém seu próprio laboratório de IA. Ao dizer publicamente que nenhum modelo de fronteira, "independentemente de sua origem", merece confiança, a empresa está semeando desconfiança contra parceiros dos quais depende comercialmente.

Ao mesmo tempo, há um interesse claro: a Microsoft quer vender à empresa o software que audita os agentes, não deixar essa fatia para OpenAI e Anthropic. Ainda assim, o princípio por trás da jogada é sólido e vale para qualquer stack, independente de fornecedor: quem fiscaliza o comportamento de um agente não deveria ser a mesma empresa que o fabrica, do mesmo jeito que um auditor não deveria responder à organização que audita.

O setor está convergindo para o mesmo diagnóstico

A Microsoft entrou como membro fundador da Open Agent Safety Platform, uma iniciativa da Nvidia que já reúne mais de 100 empresas de tecnologia. A plataforma isola agentes em ambientes seguros e consegue monitorar e interromper comportamentos no nível de hardware, funcionando como um kill switch físico, não apenas lógico.

O movimento acompanha o lançamento dos novos notebooks Surface Laptop Ultra, equipados com chips Nvidia e controles de segurança para agentes embutidos de fábrica. A leitura é que a indústria está migrando de "confiar e monitorar depois" para "isolar por padrão e liberar sob demanda".

O que muda para quem roda agentes em produção

Para times de engenharia, o recado prático independe de qual fornecedor de IA você usa. Algumas ações concretas valem a pena hoje, antes mesmo de qualquer contrato com a Microsoft:

• Separe identidade de autoridade: o agente deve ter uma identidade própria, distinta da conta de serviço usada pelo humano, com logs de auditoria dedicados que não passam pelo provedor do modelo.
• Monitore fora do fornecedor: se o sistema que vigia o agente é operado pela mesma empresa que vende o modelo, você está confiando no réu para fazer a perícia. Vale avaliar ferramentas de observabilidade↳Observabilidade11 conteúdosObservabilidade para APIs: os desafios e benefícios dessa abordagemDev (Back & Front) · jan 2025Falhas em Observabilidade afetam os Apps e a Segurança das OrganizaçõesDev (Back & Front) · nov 2023ADK Java 1.0: O Google quer que você pare de gambiarra Python no seu backendMarketing Tech · abr 2026Ver tudo em DevSecOps → independentes, não só o dashboard nativo do provedor.
• Escopo mínimo por tarefa: em vez de um token amplo de API válido por sessão inteira, prefira permissões que expiram e se ajustam conforme a ação que o agente está tentando executar.
• Aprovação humana em pontos de risco: ações como escrita em produção, deleção de dados ou chamadas a APIs de pagamento merecem um gate manual, mesmo que isso deixe o fluxo menos "autônomo".
• Inventário do que já roda: antes de comprar qualquer ferramenta de detecção, vale um levantamento manual de quais agentes (Claude Code, Codex, Copilot, scripts internos com LangChain ou CrewAI) já têm acesso a repositórios e credenciais da empresa.

O que ainda fica em aberto é se essa onda de produtos de "confiança zero para IA" vai gerar um padrão aberto, auditável por qualquer equipe de segurança, ou se cada nuvem vai empacotar sua própria versão proprietária do mesmo problema, trocando o vendor lock-in de modelo pelo vendor lock-in de monitoramento. Para quem não está no ecossistema Azure, a pergunta prática é: quem audita o agente quando o fornecedor da auditoria também é o fornecedor da nuvem?

Fonte: TechCrunch