Microsoft adiciona Agentes Guardiões ao Project Perception para lidar com riscos internos relacionados à IA

Em 19 de outubro de 2026, a Microsoft anunciou novos recursos de segurança no Project Perception e no Microsoft 365 E7 que tratam os agentes de IA corporativos como potenciais ameaças internas. A empresa apresentou os Agentes Guardiões, que supervisionam continuamente as ações dos agentes, e controles de políticas que ajustam o que cada agente pode fazer à medida que seu risco muda.

Nadim Abdo, vice-presidente corporativo de identidade e acesso à rede da Microsoft, escreveu que os agentes de IA estão assumindo uma parcela cada vez maior do trabalho cotidiano e, muitas vezes, precisam acessar dados, aplicativos, ferramentas e outros agentes da empresa para serem úteis. Ele observou que o mesmo acesso que torna os agentes úteis também cria riscos internos: eles podem ser manipulados, cometer erros ou ser comprometidos, além de poderem funcionar continuamente à velocidade das máquinas.

Abdo afirmou que a Microsoft está ampliando o Project Perception, apresentado em julho de 2026 com equipes de agentes vermelhos, azuis e verdes para defender a empresa de ataques externos impulsionados por IA, a fim de proteger os agentes que agora operam dentro dela. O Project Perception e o Microsoft Agent 365 compartilham sinais, contexto e um registro unificado, para que as equipes de TI e segurança tenham a mesma visão dos agentes e dos riscos que eles representam. A Microsoft descreve quatro responsabilidades contínuas do sistema: saber quais agentes existem; conter o que cada agente pode acessar e fazer antes de agir; proteger os dados, as ferramentas e os sistemas que estiverem em seu caminho; e adaptar a proteção à medida que o comportamento, o contexto e os riscos mudam.

Em uma publicação complementar no The Official Microsoft Blog, Hayete Gallot, cuja área de atuação na Microsoft inclui identidade, proteção contra ameaças, conformidade e segurança de dados, escreveu que as empresas implementaram agentes internamente e, por isso, confiaram neles implicitamente, embora esses agentes frequentemente tenham privilégios excessivos e acesso a dados, ferramentas e sistemas. Ela os descreveu como “agentes internos autônomos” e afirmou que, para contê-los, serão necessários Agentes Guardiões que supervisionem e moderem cada ação dos agentes, ininterruptamente e antes que ela ocorra. Segundo ela, a mesma estrutura de cibersegurança por trás do Project Perception também pode ser voltada para o interior da empresa, para gerenciar e governar os agentes que operam nela, aplicando controles baseados em regras à inteligência dos modelos, que não se comporta de maneira previsível.

Descoberta, identidade e contenção

A Microsoft está ampliando a descoberta de agentes para incluir mais 35 tipos de agentes locais, elevando para 60 o total de agentes locais compatíveis, entre eles Claude Code, OpenAI Codex e GitHub Copilot. As organizações podem incluir esses agentes em um registro unificado, independentemente de como foram descobertos, para entender quem é responsável por eles, suas atividades e os riscos que representam.

A Microsoft também está ampliando o Microsoft Entra Agent ID com tipos de identidade para padrões adicionais de agentes, incluindo agentes locais e agentes anteriormente desconhecidos, identificados por sensores de segurança. Assim, um agente pode se tornar alvo de políticas mesmo que não tenha sido originalmente integrado ao Microsoft Security. Abdo escreveu que uma identidade de agente de primeira classe estabelece a base para atribuição, autorização, ciclo de vida, responsabilidade, permissões, políticas e riscos, permitindo que a empresa distinga o que uma pessoa fez daquilo que um agente fez em seu nome.

Para conter os agentes, a Microsoft afirmou que ambientes isolados, como o Microsoft Execution Container (MXC), oferecem a eles acesso controlado por políticas aos recursos necessários para uma tarefa e estabelecem um limite de aplicação de controles que fica fora do alcance do agente. Assim, um agente ou uma estrutura de execução comprometidos não podem desativar os controles que os monitoram. Abdo também escreveu que os agentes não devem ter liberdade para chamar qualquer ferramenta, API, servidor do Model Context Protocol, recurso ou outro agente que encontrarem. Os controles locais, de rede e de dados devem mediar esses caminhos, observar as chamadas e aplicar as políticas da empresa.

As novas Permissões Dinâmicas iniciam os agentes sem qualquer autoridade e concedem apenas permissões limitadas à tarefa e por tempo determinado. As políticas da organização estabelecem os limites externos, inclusive impedindo que um agente obtenha autoridade que seu usuário não tenha; ações de maior impacto podem exigir aprovação humana verificada.

Risco Dinâmico e Agentes Guardiões

O Risco Dinâmico do Agente combina sinais das próprias atividades do agente com sinais de identidade, dados, dispositivos, nuvem, rede e ambiente de execução. A avaliação considera a configuração do agente, os recursos ao seu alcance, os danos que uma falha poderia causar e qualquer divergência entre suas ações e as intenções do usuário ou da organização. A Microsoft descreveu o resultado como uma compreensão continuamente atualizada do risco atual de um agente, que indica se a autoridade concedida a ele ainda corresponde a esse risco.

O Acesso Condicional Dinâmico amplia o Acesso Condicional do Microsoft Entra para agentes, permitindo que uma mudança no nível de risco acione ações coordenadas em vários pontos de aplicação dos controles. A resposta é gradual: uma política pode manter o acesso de leitura do agente e bloquear gravações; restringir os dados e recursos que ele pode alcançar; limitar os caminhos de rede; reduzir a duração ou revogar o acesso por tempo determinado; diminuir as permissões; ou exigir uma aprovação humana comprovável antes de permitir uma ação importante. Nos níveis de risco mais altos, o sistema pode isolar o ambiente de execução do agente ou interromper totalmente sua execução. Abdo citou o exemplo de um agente de aprovação de despesas que encontra uma injeção de prompt em um documento externo: novas evidências elevam seu Risco Dinâmico do Agente, e a política reage mantendo o acesso de leitura, mas removendo a capacidade de aprovar ou gravar, além de exigir uma aprovação humana verificável criptograficamente para uma ação de grande impacto.

A Microsoft também está introduzindo Playbooks e uma equipe de Guardian Agents no Project Perception: as pessoas definem políticas, limites de aprovação e regras de delegação; os Playbooks determinam o resultado de segurança desejado e coordenam as ações de proteção; e os Guardian Agents executam o trabalho na velocidade das máquinas. Terrell Cox, vice-presidente corporativo da Microsoft e vice-diretor de segurança da informação responsável pela segurança dos clientes, afirmou que a Microsoft já opera, como Customer Zero, em um mundo com centenas de milhares de agentes e que as lições aprendidas nesse contexto contribuem diretamente para os recursos que estão sendo disponibilizados agora.

A Microsoft afirmou que está incorporando sinais da cadeia de pensamento e outros sinais no nível do modelo ao Dynamic Agent Risk para ajudar a identificar desvios de intenção, perceber quando informações não confiáveis estão influenciando o raciocínio de um agente e detectar quando as ações planejadas se afastam da tarefa atribuída, mantendo a aplicação das medidas independente do modelo. “O sistema agêntico mais confiável não será aquele cujo modelo mais confiamos”, escreveu o presidente do conselho e diretor executivo Satya Nadella em declarações citadas no anúncio no blog de segurança da Microsoft. “Será aquele projetado para nos permitir confiar menos no modelo.”

Contexto do Microsoft 365 E7 e do Agent 365

O blog de segurança da Microsoft descreve o anúncio de 19 de outubro como a apresentação de novos recursos do Microsoft 365 E7 e do Project Perception. A Microsoft detalhou o pacote em uma publicação de março de 2026 no blog de segurança. O Microsoft 365 E7: The Frontier Suite ficou disponível para todos em 1º de maio de 2026, pelo preço de varejo de US$ 99 por usuário por mês, e inclui Microsoft 365 Copilot, Agent 365, Microsoft Entra Suite e Microsoft 365 E5, com recursos avançados do Defender, Entra, Intune e Purview. O Microsoft Agent 365, plano de controle para observar, governar e proteger agentes em toda uma organização, ficou disponível para todos no mesmo dia, pelo preço de US$ 15 por usuário por mês.