Um artigo recente revelou que a autoridade de um agente de IA expira no tempo, no intervalo entre a autorização de uma tarefa e sua efetiva execução. Existe, no entanto, um segundo eixo crítico: o espacial. Quando um agente delega uma tarefa a outro agente, que aciona a API de um parceiro, e este dispara um terceiro sistema, a ação atravessa uma cadeia. A autoridade não fica parada: ela precisa acompanhá-la. E, nesse percurso, pode expandir-se sem que qualquer decisão humana ou administrativa a tenha concedido.
Na literatura técnica, esse fenômeno é denominado authority leakage (vazamento de autoridade). A capacidade operacional de um sistema pode aumentar pela conexão com ferramentas e outros agentes, mesmo que nenhuma decisão formal tenha ampliado o que ele pode fazer.
Considere um cenário prático: um agente recebe autorização para organizar a caixa de entrada de um executivo. Para cumprir a função, obtém acesso a uma ferramenta de e-mail (que possui recurso de envio) e a um agente de agenda (capaz de marcar e desmarcar compromissos). Ninguém decidiu conceder ao organizador de e-mails o poder de se posicionar ou tomar decisões em nome do executivo; mas o encadeamento das ferramentas criou essa capacidade efetiva.
Esse risco evidencia uma distinção conceitual indispensável para o ambiente corporativo:
| Conceito | Definição Operacional | Nível de Controle |
|---|---|---|
| Poder / Capacidade | Capacidade técnica de executar o comando no ambiente. | Infraestrutura e Integração |
| Permissão | Liberação administrativa mediante credenciais de acesso. | Gestão de Acessos (IAM) |
| Autoridade Legítima | Delegação contextual vinculada a quem concedeu o poder, à finalidade e ao limite de repasse. | Governança Contextual em Tempo de Execução |
Como sintetiza Ian Molloy, pesquisador da IBM atuante na Coalition for Secure AI: credenciais administrativas podem estar perfeitamente corretas e, ainda assim, os resultados operacionais produzidos serem totalmente nocivos.
A partir desse diagnóstico, consolida-se um princípio fundamental para a arquitetura de sistemas multiagentes: a autoridade deve diminuir a cada elo da cadeia, nunca aumentar. Trata-se da chamada atenuação de autoridade.
- Limitação de escopo: se o usuário delega uma tarefa ao Agente A, e este delega ao Agente B, o escopo de atuação de B não pode exceder o de A nem ampliar a finalidade original da solicitação.
- Revogação em cascata: se a autorização inicial for retirada ou o contexto original for alterado, a revogação precisa propagar-se por toda a cadeia até o último agente participante, em tempo hábil.
A ideia já saiu do plano conceitual e começou a descer para a infraestrutura. Em 2026, aparecem rascunhos de padrões técnicos e ferramentas que tentam controlar essa cadeia.
Na IETF, a autoridade começa a virar protocolo
Na IETF (Internet Engineering Task Force), o organismo que padroniza a internet, há uma safra de propostas de 2026 para o mesmo problema.
- Delegated Agent Authorization Protocol (draft-mishra-oauth-agent-grants): estabelece identidade criptográfica para agentes, registro auditável do consentimento humano e mecanismos de revogação em cascata.
- Agent Operation Authorization (draft-liu-agent-operation-authorization): proposta conjunta da Alibaba e da Cisco que converte a intenção declarada do usuário em autorizações verificáveis para operações específicas.
- Attenuating Authorization Tokens (draft-niyikiza-oauth-attenuating-agent-tokens): define tokens que reduzem proporcionalmente suas permissões a cada salto na delegação.
São rascunhos, sem status final. Ainda assim, o movimento é significativo: a autoridade dos agentes está descendo para a camada de infraestrutura, abaixo da política corporativa.
E a ideia já virou produto
Em abril de 2026, a Microsoft liberou, sob licença aberta, o Agent Governance Toolkit, que inspeciona chamadas de ferramentas antes de sua execução e cobre os dez principais riscos catalogados pelo OWASP para aplicações agênticas, entre eles sequestro de objetivo e abuso de privilégios. A documentação descreve justamente a camada que começa a aparecer: entre a decisão do agente e a execução da ação.
O NIST / NCCoE também trata identidade e autorização de agentes como um problema próprio, distinto das contas de serviço tradicionais. A questão deixa de ser apenas quem tem uma credencial e passa a incluir qual agente está agindo, em nome de quem e com qual autoridade delegada.
A Agentic AI Foundation (AAIF), criada sob a guarda da Linux Foundation por empresas como AWS, Anthropic, Google, Microsoft e OpenAI, é outro sinal de que a infraestrutura necessária para coordenar agentes começa a ganhar uma agenda própria.
O campo ainda não tem um nome
Há um sinal revelador em tudo isso. Os mesmos mecanismos aparecem sob rótulos diferentes conforme quem fala:
- Governança em tempo de execução (Runtime Governance)
- Autorização contínua
- Controle na fronteira da ação
- Governança de caminhos
- Governança de protocolos
- Identidade e autorização de agentes
Quando reguladores, coalizões industriais, pesquisadores e engenheiros de protocolo chegam ao mesmo problema por estradas separadas e cada um o batiza à sua maneira, não é apenas dispersão. É o indício de que uma nova camada de infraestrutura está nascendo antes de o vocabulário assentar.
A história, portanto, não é apenas sobre mais um framework de governança. É sobre a transformação da autoridade em um objeto de infraestrutura.
A pergunta muda para quem decide
Para os líderes de tecnologia e segurança, a pergunta central deixa de ser apenas “quais agentes estão em execução na organização?” e passa a ser:
- De quem cada agente obtém sua autoridade inicial?
- Até onde essa autoridade se estende quando a tarefa atravessa APIs, ferramentas e sistemas de terceiros?
- O escopo de cada agente diminui ou aumenta ao longo dessa cadeia?
- Como a organização garante a revogação quando o contexto muda ou o consentimento é retirado?
Poucas organizações conseguem responder a essas quatro perguntas hoje.
O fator decisivo a acompanhar será a consolidação desses rascunhos em padrões de mercado de adoção ampla. Se a atenuação de autoridade entrar como requisito nos frameworks que já existem, ou se um dos protocolos de delegação da IETF se firmar, essa nova camada terá encontrado sua forma.
Enquanto o nome não assenta, o problema já é o mesmo: impedir que a capacidade de um agente se transforme em autoridade só porque ele encontrou um caminho técnico até a ação.
Resumindo…
1. O problema: a autoridade viaja.
2. O risco: a capacidade pode crescer no caminho.
3. A distinção: capacidade ≠ permissão ≠ autoridade.
4. O princípio: autoridade deve ser atenuada.
5. A infraestrutura: IETF, Microsoft, NIST, AAIF.
6. O sinal: ninguém ainda sabe como chamar essa camada.
7. O C-level: precisa mapear a autoridade ao longo da cadeia.
8. A conclusão: capacidade não pode virar autoridade por acidente.