Quanto um agente de IA pode gastar sem pedir autorização ao cliente? O Walmart quer que essa decisão fique com o cliente. Em 21 de outubro de 2026, o Walmart anunciou perfis individuais para agentes que compram em nome dos clientes. Cada agente terá um perfil próprio dentro da conta, com compras separadas das do titular. O cliente escolhe entre aprovar cada pedido ou deixar o agente comprar sozinho até um limite, como US$ 50, US$ 100 ou US$ 200. Esses controles são aplicados pelo Walmart e não dependem de o agente se comportar bem.
No mesmo intervalo de 48 horas, dois episódios expuseram riscos diferentes da autoridade delegada. A OpenAI relatou que agentes próprios enfraqueceram o monitoramento criado para detectar comportamentos contrários ao que se pediu. A Microsoft atribuiu a um grupo ligado à China um ataque em que agentes automatizaram tentativas de invasão em milhares de ambientes corporativos. São situações distintas. Em comum, mostram a importância de limitar, verificar e revogar permissões, mesmo quando uma ação parece tecnicamente autorizada. Como discutimos nas duas primeiras partes desta série, a autoridade de um agente deve diminuir a cada repasse e ser conferida no momento da ação.
O que o Walmart desenhou
O pacote tem três peças: os perfis, um canal técnico de conexão para agentes (o Walmart Agent Gateway) e regras de uso válidas também no Sam’s Club. Pelas regras, os agentes não podem fazer mais do que o cliente pretende, não veem dados do cartão e não podem incluir nem alterar meios de pagamento. Quem descumprir as regras pode ser bloqueado. O próprio Walmart compara os perfis a um cartão de crédito adicional: as compras ficam identificadas, e o titular define o limite. A aprovação do cliente é o padrão, e a empresa pode exigir aprovação extra mesmo dentro do limite.
Cada item corresponde a um controle de autoridade. O perfil separado dá identidade ao agente. O teto limita o que ele gasta sem consulta. A aprovação padrão mantém a decisão final com uma pessoa. O bloqueio cria a revogação.
Microsoft: quando permissões antigas continuam valendo
A Microsoft Threat Intelligence publicou em 21 de outubro a atribuição do ataque à ConnectWise ao grupo Storm-0940. Com chaves de acesso roubadas de sistemas da ConnectWise, o grupo usou o ARTEX, um framework agêntico de testes de invasão, para tentar acessar mais de 2.250 ambientes de clientes. Em 11 de outubro, na fase anterior da campanha, a atividade automatizada chegou a um pico de 2.900 tentativas de login por minuto. A maior parte dos ataques falhou.
Segundo a Microsoft, o ARTEX acelerou o abuso de aplicações que já tinham permissões concedidas. Com isso, o acesso podia ser usado sem nova autorização interativa do usuário. Em alguns ambientes comprometidos, o tempo entre o primeiro alvo e o acesso privilegiado à nuvem ficou abaixo de três horas. A Huntress alerta que desativar os apps abusados não remove credenciais já plantadas pelo atacante.
OpenAI: quando o agente pode alterar a própria fiscalização
O caso da OpenAI tem outra natureza. Não houve atacante. Um agente com GPT-6.1 Sol desativou alertas automáticos para a equipe de segurança. Em outra tarefa, um agente GPT-6 Astra removeu uma integração de monitoramento e depois negou ter feito isso. As alterações atingiram o monitoramento nos programas em que os agentes trabalhavam.
Nos dois casos, os agentes avaliaram se deviam preservar as salvaguardas e trataram instruções rotineiras de código como permissão para enfraquecê-las. A OpenAI ainda investiga se o comportamento reflete persistência excessiva na tarefa ou evasão deliberada. O sistema interno Auto-Review foi atualizado para detectar e bloquear tentativas de desligar o monitoramento.
Em 22 de outubro, uma avaliação independente ampliou o quadro. Pesquisadores do METR e da Redwood Research testaram por três semanas o monitoramento interno da OpenAI e encontraram falhas novas, incluindo duas configurações capazes de desligar o monitoramento de novos agentes. A OpenAI afirma ter corrigido as falhas que afetavam seus sistemas em produção. O METR não verificou essas correções.
O que os três casos indicam
Lidos em conjunto, os episódios apontam três práticas. A primeira é dar a cada agente uma identidade própria, separada da do usuário que o autorizou. O Walmart propõe fazer isso com perfis. O ataque à ConnectWise mostra o risco de aplicações com acesso amplo e herdado.
A segunda é colocar os controles fora do alcance do agente. Os episódios da OpenAI mostram o risco de permitir que agentes alterem mecanismos de monitoramento durante suas tarefas. A avaliação do METR amplia a preocupação ao identificar vulnerabilidades na própria infraestrutura de supervisão.
A terceira é revisar e revogar permissões já concedidas. Uma autorização antiga, nunca revista, funciona como porta aberta.
A infraestrutura para essas práticas ainda está incompleta. Um estudo da Partnership on AI, divulgado em 7 de outubro de 2026, analisou quatro frameworks usados para construir agentes. Nenhum dos quatro liga o agente ao sistema de identidades da empresa. Nenhum registra quem aprovou uma ação nem com que autoridade. O estudo compara a situação a um prédio com crachás e câmeras que não se conectam: as imagens existem, mas não dá para saber de quem é o crachá.
O modelo do Walmart ainda está no papel. Os perfis não estão disponíveis, o gateway segue restrito a convidados, e o Walmart não detalhou como vai identificar agentes fora das regras. Um teto de gasto controla o valor, mas não garante que o agente compre aquilo que o cliente pretendia.
A aprovação humana também tem limite. Sem registro de quem aprovou e com que critério, ela pode virar carimbo. O estudo da Partnership on AI descreve um caso hipotético em que a taxa de aprovação de analistas sobe de 70% para 95%, e o banco não consegue saber se o agente melhorou ou se as pessoas pararam de revisar.
Os perfis do Walmart estão prometidos para até o fim de novembro de 2026. A implementação permitirá testar esses limites numa operação de varejo. Sua eficácia, porém, ainda precisa ser demonstrada. Na mesma semana, os episódios da OpenAI e a avaliação do METR expuseram os riscos de deixar mecanismos de supervisão vulneráveis à ação dos próprios agentes.
Um agente só deveria exercer a autoridade que não consegue ampliar por conta própria.