O debate sobre a segurança da IA não tem a base necessária para proteger a segurança da identidade.
Você está resolvendo problemas de exploração de IA. Está adicionando restrições aos prompts. Preocupa-se com a possibilidade de vazamento ou alucinação de modelos. Também está testando a resistência dos agentes em casos extremos. Embora isso tudo seja necessário, muitas organizações estão negligenciando os fundamentos.
Para acertar na IA, você precisa acertar na identidade. Todo agente precisa de uma identidade.
Atualmente, os agentes de IA podem ser implementados na sua organização com pouca ou nenhuma base de identidade. Por exemplo: a equipe de finanças pode utilizar agentes que aprovam relatórios de despesas. A equipe de engenharia pode disponibilizar agentes que coletam dados dos clientes. O setor de marketing pode desenvolver algo para monitorar o sentimento dos clientes. Isso tudo pode acontecer sem que o agente tenha uma identidade conhecida e governada que esteja em conformidade com suas políticas de acesso. Quando algo der errado, é provável que você não consiga rastrear a causa ou interromper o processo.
Se você planeja implantar ou já possui agentes ativos em produção, precisa responder a estas perguntas fundamentais sobre eles:
- Onde estão os meus agentes?
- O que eles podem acessar?
- O que eles podem fazer?
Hoje em dia, a maioria dos agentes se autentica com chaves de API estáticas, segredos codificados e acesso permanente aos sistemas de produção. Isso cria um cenário onde é provável que não haja uma visão centralizada de quais agentes existem, quem os possui ou o que eles podem fazer. Quando um desenvolvedor sai da equipe, o agente pode continuar sendo executado sem monitoramento. Quando o caso de uso de um agente é alterado, as permissões permanecem as mesmas. Quando um agente começa a acessar coisas que não deveria, é provável que você não consiga desligá-lo.
Isso muda hoje.
O Okta for AI Agents já está disponível em acesso antecipado e foi criado para proporcionar a camada de identidade que oferece visibilidade e governança para seus agentes de IA em qualquer ambiente.
Por que suas ferramentas de identidade e segurança existentes não foram feitas para agentes de IA
A maioria das pilhas de segurança foi projetada para seres humanos e software tradicional. Os seres humanos têm ciclos de vida previsíveis. O software tem caminhos de execução fixos. Os agentes de IA quebram ambas as premissas, criando três lacunas que suas ferramentas atuais não são capazes de preencher.
Onde estão os meus agentes?
Os sistemas de identidade tradicionais dependem do provisionamento centralizado: o RH aciona a criação da conta, a TI provisiona o acesso e a identidade aparece no diretório. No entanto, não existe um processo de RH para a implantação de agentes. Não há aprovação central da TI. Não há um fluxo de trabalho de provisionamento que alimente seu sistema de identidade.
Os agentes são iniciados em ambientes de desenvolvimento, executados como scripts em segundo plano e operam dentro do seu perímetro com credenciais legítimas. Suas ferramentas de descoberta existentes verificam a presença de apps de SaaS não autorizados e tráfego de rede incomum. Provavelmente não foram projetados para identificar códigos autônomos que operam com chaves de API válidas.
O que eles podem acessar?
Sua arquitetura Zero Trust exige credenciais dinâmicas, acesso just-in-time e verificação contínua. Contudo, os agentes podem ignorar todos esses controles, pois se autenticam com chaves estáticas de longa duração que antecedem os controles de segurança modernos.
O que eles podem fazer?
Historicamente, os fluxos de trabalho de governança pressupõem atores humanos. As revisões de acesso enviam e-mails aguardando respostas. O gerenciamento do ciclo de vida é acionado por eventos de contratação e desligamento provenientes de sistemas de RH. A análise de pontuação de risco examina os padrões de login e a geolocalização.
Nada disso funciona para os agentes. Eles não leem e-mails. Eles não têm registros de RH. Os padrões de acesso deles são não determinísticos — eles se adaptam e tomam decisões com base no contexto. Mesmo sabendo que um agente existe, não é possível governá-lo com ferramentas criadas para interações humanas.
Para fechar essas lacunas, você precisa de uma estrutura de segurança de identidade que forneça todas as ferramentas necessárias para visualizar, gerenciar e controlar seus agentes de IA no seu ambiente. Ao fornecer uma identidade própria aos agentes, a Okta ajuda a garantir a visibilidade, a configuração adequada de controle e o monitoramento em cada etapa do processo.
Como funciona:
Onde estão os meus agentes?
Descubra os agentes de IA:
- A descoberta de agentes de IA paralelos ajuda a tirar a IA das sombras com descoberta contínua e gerenciamento centralizado para seus agentes. É possível descobrir agentes não gerenciados, mapear o raio de explosão e reduzir pontos cegos críticos de forma contínua. A descoberta de agentes de IA paralelos já está disponível em acesso antecipado. Leia mais aqui.
- A inscrição de agentes de IA permite que as organizações registrem agentes como identidades de primeira classe no Universal Directory, com mapeamento claro de propriedade para responsabilização humana. A inscrição de agentes de IA já está disponível em acesso antecipado.
A que o agente pode se conectar?
Padronize o acesso entre apps:
- O API Access Management permite que agentes de IA se conectem a um servidor de autorização para impor o menor privilégio com avaliação dinâmica baseada em identidade, contexto e risco. Ele ajuda a garantir controles consistentes e evita a movimentação lateral não autorizada. O API Access Management já está disponível em acesso antecipado.
- O Privileged Credential Management ajuda a conectar agentes a segredos armazenados e contas de serviço com cofre seguro, rotação automatizada e uma trilha de auditoria para garantir que as credenciais nunca apareçam em texto simples ou registros. O Privileged Credential Management já está disponível em acesso antecipado.
O que eles podem fazer?
Gerencie o ciclo de vida dos agentes de IA:
- O Governance for Agents as a Resource integra agentes que agem em nome dos usuários aos fluxos de trabalho padrão de certificação. Você pode automatizar as revisões de acesso, atribuí-las a proprietários humanos e aplicar políticas para garantir que os agentes mantenham apenas as permissões necessárias, com uma trilha de auditoria completa para cada ação. O Governance for Agents as a Resource já está disponível em acesso antecipado.
Em breve
Proteja e governe o acesso às ferramentas de agentes de IA:
- O Agent Gateway funciona como um plano de controle centralizado para proteger o acesso de agentes de IA aos recursos. Sua funcionalidade de servidor MCP virtual permite que os administradores agreguem e exponham ferramentas do registro MCP da Okta. Todos os acessos e solicitações roteados pelo Agent Gateway entre agentes de IA e recursos são registrados para auditoria e observabilidade, exceto chamadas internas nos serviços downstream. Esse recurso estará disponível em breve.
A segurança dos agentes de IA se resume a responder a essas três perguntas fundamentais. Com o Okta for AI Agents, você pode responder a todas elas para seus agentes em tempo real.
O Okta for AI Agents já está disponível em acesso antecipado e estará disponível para o público geral em 30 de abril de 2026. Acesse https://www.okta.com/products/govern-ai-agent-identity/ para começar.
Quaisquer produtos, recursos, funcionalidades, certificações, autorizações ou atestados mencionados neste blog que não estejam disponíveis ao público em geral no momento, ou que ainda não tenham sido obtidos, ou que não estejam atualmente mantidos, podem não ser entregues ou obtidos no prazo ou de nenhum modo. Os roteiros de produtos não representam um compromisso, uma obrigação nem promessa de fornecer qualquer produto, recurso, funcionalidade, certificação ou atestado. Tais roteiros não devem servir de base para você tomar suas decisões de compra.
