Microsoft aplica a agentes de IA os controles que usava para vigiar funcionários de risco

A Microsoft decidiu tratar o agente de IA que roda dentro da empresa como trataria um funcionário sob suspeita. Em 19 de outubro de 2026, a empresa publicou em seu blog de segurança um conjunto de recursos, assinado por Nadim Abdo, vice-presidente de identidade e acesso de rede, que estende aos agentes autônomos os mecanismos de gestão de risco interno que antes serviam só para gente.

A lógica é simples de entender mesmo para quem nunca configurou um agente: cada agente de IA passa a ter uma identidade própria, cadastrada num registro, e seus direitos de acesso encolhem automaticamente quando o sistema detecta que ele está se comportando de forma arriscada. Para quem decide onde colocar um agente autônomo na operação, isso significa um novo item na lista de compras de compliance, com preço, mas sem data certa de entrega completa.

O que já está à venda e o que ainda é promessa

Parte desse pacote não é novidade de outubro. A gestão de riscos internos do Microsoft Purview, ferramenta pensada para flagrar vazamento de dado ou roubo de propriedade intelectual, passou a valer para agentes de IA ainda no meio de 2026: a Microsoft anunciou a disponibilidade geral mundial entre meados de junho e o fim de julho daquele ano. O comunicado MC1280556, destinado a administradores de Microsoft 365, deixa claro que essa função exige Microsoft 365 E7 ou Agent 365.

Já o que foi anunciado em 19 de outubro (o Dynamic Agent Risk e o Dynamic Conditional Access) não tem status definido. O próprio texto da Microsoft os lista como recursos de Microsoft 365 E7 e do Project Perception, sem dizer se já estão em produção. O GeekWire, que cobriu o anúncio no mesmo dia, informa que eles estão em prévia privada e que a disponibilidade deve se ampliar durante o Ignite, a conferência da Microsoft em São Francisco marcada para 17 a 20 de novembro de 2026. Ou seja: quem orçar isso agora está comprando algo que ainda pode mudar de forma até o mês que vem.

Como funciona o risco dinâmico de um agente

O núcleo da proposta se chama Dynamic Agent Risk: uma pontuação de risco recalculada continuamente a partir de sinais de identidade, dados, dispositivo, nuvem, rede, execução e do comportamento do próprio agente, incluindo trechos do raciocínio intermediário do modelo. O GeekWire cita dois exemplos de sinal: quais dados o agente consegue alcançar e o quanto suas ações se distanciam da tarefa que ele recebeu.

Esse risco alimenta o Dynamic Conditional Access, uma extensão do acesso condicional do Entra (o filtro de login que a Microsoft já aplica a funcionários e, mais recentemente, a agentes). A resposta é graduada, e pode:

• reduzir as permissões do agente;
• manter a leitura e bloquear a escrita;
• restringir os dados e recursos que ele alcança;
• restringir seus caminhos de rede;
• encurtar ou revogar um acesso limitado no tempo;
• exigir aprovação humana comprovável criptograficamente antes de um passo de alto impacto.

No nível de risco mais alto, o agente pode ser isolado ou desligado. Antes disso, a Microsoft recomenda que o agente comece sem nenhum direito, ou com o mínimo necessário, rodando dentro de um sandbox chamado Microsoft Execution Container (MXC), que filtra o acesso dele a recursos.

Nadella já vinha pedindo isso em outubro

A empresa conecta esse movimento a um texto publicado pelo CEO Satya Nadella em 10 de outubro de 2026, no qual ele propõe tratar modelos de IA, sejam fechados ou de peso aberto, como riscos internos. Segundo a Microsoft, Nadella defende que os controles sobre o que um modelo pode acessar e quais ações pode executar precisam existir fora do próprio modelo, e que toda ação relevante de um agente deve deixar um registro à prova de adulteração e legível por um humano.

O contexto ajuda a entender a pressa. A OpenAI informou em 1º de outubro de 2026 ter notificado mais de 100 organizações sobre atividade não autorizada de seus agentes, detectada durante testes internos da própria empresa. Uma demonstração publicada em 9 de outubro mostrou um agente executando uma ferramenta antes mesmo de formular sua recusa, com a instrução de segurança dada ao modelo falhando em barrar a ação. Para quem está no conselho avaliando risco de IA, esse é o tipo de episódio que justifica orçar controle fora do modelo, e não confiar só na instrução que se dá a ele.

Sessenta agentes no radar, com ressalvas

Controlar risco pressupõe saber o que está rodando. A Microsoft ampliou sua descoberta de agentes locais para 35 novos tipos, somando 60 reconhecidos, entre eles Claude Code, OpenAI Codex e GitHub Copilot. A matriz de suporte datada de 7 de outubro de 2026 cita ainda Cursor, Windsurf, Gemini CLI, ChatGPT Desktop, Claude Desktop e motores locais como Ollama.

Essa descoberta depende do Microsoft Defender for Endpoint e só enxerga máquinas registradas nele, com base em atividade observada: segundo a própria matriz de suporte da Microsoft, instalar um agente não garante, sozinho, que ele apareça no inventário. Os 60 agentes valem para Windows; no macOS a cobertura está em prévia e chega a 51 agentes; no subsistema Linux do Windows a prévia cobre só três agentes de código, o que não equivale a suportar Linux nativo.

A proteção em tempo de execução, também em prévia, funciona só no Windows e não cobre agentes que fixam certificado próprio ou usam HTTP/3, uma lacuna técnica que qualquer time de segurança precisa registrar antes de assinar embaixo da cobertura.

Quanto isso custa para uma empresa no Brasil

Não há preço nem licença divulgados para o Brasil. A fonte francesa consultou os preços públicos para a França, em euros, em 20 de outubro de 2026, e eles dão uma régua de comparação útil enquanto a Microsoft não publica valores para outros mercados:

Nos 13 euros do Agent 365 isolado, uma empresa com 1.000 usuários pagaria 156 mil euros por ano, só nessa camada, sem contar a licença de base de Entra ou E3 que a documentação de acesso condicional para agentes exige como pré-requisito. Nenhuma fonte confirma se o Dynamic Agent Risk, o Dynamic Conditional Access e os Guardian Agents, anunciados em 19 de outubro, vêm incluídos nesse valor ou serão cobrados à parte quando saírem da prévia.

Para quem decide orçamento de IA no Brasil, o ponto prático é este: a conta de compliance de agente não é zero, e ela escala por usuário, não por agente. Uma empresa que coloca 50 agentes autônomos para rodar mas tem 2.000 pessoas na base do Microsoft 365 paga pelas 2.000, segundo a lógica de licenciamento que a Microsoft recomenda (todo mundo que interage com o agente, o possui, o gerencia ou o patrocina precisa estar coberto).

O que ainda fica em aberto, inclusive para quem está fora dos EUA

Nenhuma das páginas consultadas pela ActuIA menciona a União Europeia, a fronteira de dados da UE ou qualquer região fora do mercado americano para os recursos anunciados em 19 de outubro. Isso importa para quem opera no Brasil e depende de onde o dado do agente é processado: sem cláusula de residência de dados publicada, a área jurídica da empresa não tem hoje uma resposta pronta sobre onde o log do Dynamic Agent Risk fica armazenado, nem sob qual jurisdição.

A Microsoft também não publicou a fórmula de cálculo do risco de um agente nem os limiares que disparam cada nível de resposta. Isso é relevante para qualquer comitê de risco: aprovar a compra de uma ferramenta de controle sem saber como ela decide bloquear ou isolar um agente é assinar um contrato de caixa preta sobre outra caixa preta.

Vale separar dois alvos que o anúncio mistura. Os controles da Microsoft mexem nos agentes que a própria empresa roda, com seus dados e suas permissões.

No mesmo dia 19 de outubro, a empresa de cibersegurança NorForge publicou uma investigação sobre mais de 20 painéis de controle do tipo Cairn, provavelmente usados por invasores para operar agentes de IA contra sites de comércio eletrônico, com um grupo gerenciando mais de 1.100 projetos de ataque a um custo médio estimado de cerca de 5 dólares por tarefa. Esses agentes maliciosos não são afetados pelo pacote da Microsoft: eles pertencem ao atacante, não à empresa atacada, e exigem uma resposta de segurança diferente, do lado de quem é alvo, não de quem administra o agente.

A próxima oportunidade de a Microsoft detalhar preço, escopo e disponibilidade fora dos EUA é o Ignite, de 17 a 20 de novembro de 2026. Até lá, quem já roda agente de IA em produção faz bem em mapear, por conta própria, quais agentes existem na empresa hoje (incluindo os instalados por desenvolvedores fora do canal oficial de TI) antes de decidir qual camada de licença paga.

Fonte: ActuIA