Microsoft lança Guardian Agents para monitorar agentes de IA como ameaças internas

A Microsoft anunciou na segunda-feira (19 de outubro de 2026) um conjunto de recursos de segurança voltado a um problema específico: o que fazer quando o próprio agente de IA que sua equipe colocou para rodar dentro da empresa vira um risco. Segundo a reportagem da TechCrunch, a peça central do anúncio é o Guardian Agents, um recurso para monitorar os agentes de IA que uma empresa já usa em produção.

Um agente de IA, para quem ainda não trabalhou com um, é um sistema construído sobre um modelo de linguagem que não só responde perguntas: ele executa tarefas sozinho, como ler um banco de dados, mandar um e-mail ou alterar um arquivo de configuração. É justamente essa autonomia que preocupa a Microsoft.

O Guardian Agents nasce dentro de um projeto que já existia

O Guardian Agents é parte do Project Perception, produto que a Microsoft lançou em junho de 2026 como resposta a modelos de hacking como Mythos e Fable, da Anthropic, e ao Daybreak, sistema de varredura de vulnerabilidades de segurança da OpenAI. Na versão original, o Project Perception rodava três classes de agentes: um time vermelho que atacava como um hacker faria, um time azul que detectava esses ataques e avaliava as vulnerabilidades encontradas, e um time verde encarregado de corrigi-las.

O desenho inicial partia de uma premissa: o invasor viria de fora da empresa. O Guardian Agents muda essa premissa. Ele assume que o risco pode estar dentro de casa, nos próprios agentes que a empresa contratou e está pagando para usar.

Nadella chama o modelo de linguagem de ameaça interna

A mudança de postura vem sendo construída há semanas. No início de outubro de 2026, o CEO da Microsoft, Satya Nadella, publicou em seu blog pessoal um aviso direto: é hora de parar de confiar cegamente nas garantias de segurança que os fornecedores de modelos de IA oferecem, mesmo quando esses fornecedores dizem que seus produtos agênticos são seguros.

Estamos implantando esses sistemas e modelos agênticos complexos, com acesso aos nossos dados mais sensíveis e dando a eles a capacidade de tomar ações críticas em nosso nome. Simplesmente não podemos terceirizar a responsabilidade pelo que a inteligência faz em nosso nome. As garantias de um fornecedor de modelos não nos isentam dessa responsabilidade. Em outras palavras, precisamos separar o fornecimento da inteligência da autoridade sobre ela.

We are deploying these complex agentic systems and models, with access to our most sensitive data and giving them the ability to take mission-critical actions on our behalf! We simply can't outsource responsibility for what intelligence does on our behalf. A model provider's assurances do not relieve us of that responsibility. … In other words, we need to separate the supply of intelligence from the authority over it.Satya Nadella, CEO da Microsoft

A executiva responsável pelo negócio de segurança da Microsoft, Hayete Gallot, foi ainda mais direta ao anunciar o Guardian Agents.

Infelizmente, os modelos de fronteira, independente da origem, não podem ser confiáveis.

Unfortunately, frontier models, regardless of their origin, cannot be trusted.Hayete Gallot, chefe do negócio de segurança da Microsoft

Segundo Gallot, o problema não é que esses modelos sejam maliciosos ou fáceis de hackear. É que são imprevisíveis: foram treinados para cumprir a tarefa que receberam, não para seguir normas organizacionais ou juízo de valor (organizational norms or judgment, no original), e ainda assim ganham acesso a dados e sistemas que podem causar dano real se usados fora do script.

O que muda na prática para quem constrói e opera agentes

A parte que interessa direto a quem desenvolve e sustenta sistemas é o que a Microsoft embutiu no Microsoft Defender, sua suíte de segurança corporativa. O produto ganhou um recurso de detecção capaz de identificar até 60 tipos de agentes que funcionários trazem para o ambiente de trabalho por conta própria, sem passar pelo time de TI. A lista inclui nomes que qualquer desenvolvedor reconhece: Claude Code, Codex e OpenClaw, todos agentes usados para escrever e executar código.

Isso significa que, do ponto de vista da Microsoft, o próprio assistente de codificação que um time usa para acelerar entregas entra na mesma categoria de risco de um funcionário mal-intencionado, se ninguém estiver controlando o que ele acessa. Além da detecção, o Defender passou a oferecer:

• Limitação do acesso do agente a dados e sistemas específicos, em vez de permissão ampla por padrão
• Ajuste dinâmico de permissões conforme a tarefa que o agente está executando no momento
• Exigência de aprovação humana quando o agente tenta tomar uma decisão classificada como arriscada

Para quem já trabalha com controle de acesso, o desenho lembra os princípios de zero trust que a indústria de segurança vem aplicando a humanos e serviços há anos: nada de confiança implícita, permissão mínima necessária, e verificação constante em vez de uma checagem única na entrada.

O conflito de interesse que a própria Microsoft não esconde

A TechCrunch aponta um detalhe que vale destacar para quem decide fornecedor: a Microsoft é investidora da OpenAI e da Anthropic, duas das empresas cujos modelos ela agora diz que não merecem confiança automática. A OpenAI também é uma das maiores clientes de nuvem da Microsoft, que ainda mantém laboratório próprio de IA. Ou seja, a empresa está semeando desconfiança contra parceiros de negócio relevantes, ao mesmo tempo em que vende o produto que promete resolver essa desconfiança.

A lógica, porém, não deixa de fazer sentido técnico: quem audita não deveria ser a mesma parte auditada. Se o modelo vem da OpenAI ou da Anthropic, faz sentido que a camada de monitoramento e controle venha de um fornecedor independente, assim como um auditor financeiro não deveria responder à mesma diretoria que está sendo auditada.

O movimento já passou da Microsoft sozinha

A Microsoft entrou como membro fundador da Open Agent Safety Platform, iniciativa da Nvidia que já reúne apoio de mais de 100 empresas de tecnologia. A plataforma isola agentes em ambientes seguros e consegue monitorar e interromper o comportamento deles por hardware, funcionando como um botão de desligamento de emergência.

Esse movimento também aparece em hardware de uso cotidiano: a Microsoft já havia anunciado os notebooks Surface Laptop Ultra voltados para rodar agentes, construídos sobre chips Nvidia e com controles de segurança de agente já embutidos de fábrica, não como camada adicional instalada depois.

O que ainda fica em aberto

A Microsoft não detalhou publicamente como o Guardian Agents calcula o risco de uma ação antes de bloqueá-la, nem divulgou preço, disponibilidade por região ou que tipos de carga de trabalho o recurso cobre no lançamento. Também não há, até aqui, benchmark independente comparando a eficácia da detecção de agentes do Defender com alternativas de outros fornecedores de segurança.

Para times que já colocaram Claude Code, Codex ou qualquer outro agente autônomo em produção sem um inventário formal de permissões, o recado da Microsoft serve como alerta prático, mesmo que o produto específico não seja usado: mapear o que cada agente pode acessar, quem aprovou esse acesso e se existe uma camada de controle separada do fornecedor do modelo deixou de ser exagero e virou item básico de governança.

Fonte: TechCrunch AI