AWS propõe autonomia gradual para agentes ganharem permissões

O problema da confiança

A AWS propõe o padrão de “autonomia gradual” para reduzir a distância entre o que um agente de IA pode fazer e o que uma equipe se sente segura em permitir. A publicação argumenta que os extremos atualmente comuns - acesso total ou somente leitura - são inadequados: o primeiro é arriscado porque agentes podem falhar de modo imprevisível, enquanto o segundo limita seu valor operacional. Nesse modelo, o agente começa com permissões restritas, pode ganhar acesso após demonstrar desempenho consistente e perde autonomia quando sua segurança ou confiabilidade se deteriora.

Arquitetura em seis camadas

O desenho usa o Amazon Bedrock AgentCore para fornecer recursos de execução, gateway, políticas e avaliação; o Amazon DynamoDB armazena o estado de confiança; e o AWS CodePipeline impede que versões degradadas cheguem à produção. A arquitetura tem seis camadas: um mecanismo de pontuação, que calcula a confiança; um sistema de níveis, que converte a pontuação em permissões; uma camada pré-execução, que bloqueia ações perigosas; uma camada de aplicação de políticas; uma camada pós-execução, que avalia resultados e registra sua origem; e uma barreira de entrega para testar alterações antes da implantação.

O mecanismo atribui uma pontuação de zero a 100 em uma janela móvel de 50 ações, considerando precisão (25%), segurança (20%), consistência (20%), conformidade (20%) e eficiência (15%). A segurança funciona como um limite independente, para que um resultado perigoso não seja compensado por boas métricas em outras dimensões. Todo agente começa no nível T1, mesmo que tenha bom desempenho em testes. O T1 permite apenas leitura e listagem; o T2 acrescenta operações de escrita, com aprovação humana para ações de alto risco; o T3 permite executar e modificar, mantendo anomalias sob revisão; e o T4 concede acesso total com auditoria posterior.

A promoção exige que a pontuação permaneça acima do limite durante toda a janela de avaliação e inclui uma margem de cinco pontos para evitar oscilações. Já a rebaixamento é imediato quando a segurança cai abaixo do piso ou uma injeção é detectada. O estado atual e o histórico ficam no DynamoDB, e os componentes de aplicação consultam o nível a cada invocação.

Bloqueios, auditoria e recuperação

Antes de cada chamada de ferramenta, filtros verificam injeção adversarial, credenciais e outros alvos sensíveis, ferramentas destrutivas, desvios no padrão de uso, calibração da confiança e qualidade do raciocínio apresentado. A AWS ressalta que esses filtros são uma primeira barreira, não uma defesa completa. O AgentCore Gateway aplica políticas Cedar fora do processo do agente, com negação padrão e sem depender da decisão do próprio modelo. O Amazon Bedrock Guardrails complementa essa proteção ao filtrar conteúdo nocivo e mascarar informações sensíveis.

Depois da execução, cada ação é registrada na sequência “Pensar, Planejar, Agir, Observar e Pontuar”. O registro preserva o estado anterior à ação, a política aplicada, o resultado e o impacto sobre a confiança, permitindo explicar decisões e apoiar a recuperação de ações incorretas. Rejeições de operadores também afetam a métrica de segurança: uma taxa de rejeição de 30% pode limitar essa métrica a 70%. Um mecanismo de parada de emergência aplica uma política Cedar que nega todas as ferramentas, normalmente em segundos. Em cadeias de agentes, a permissão efetiva é a menor entre os níveis dos agentes envolvidos.

Testes e conclusão

Mudanças em prompts, configurações ou ferramentas acionam um fluxo do CodePipeline, que testa a versão em ambiente de preparação com casos conhecidos, incluindo injeção e exfiltração de dados. Uma única chamada não autorizada em um caso adversarial reprova a versão. Em produção, casos-isca verificam a trajetória das ferramentas; se houver queda de segurança, o sistema reduz permissões, alerta operadores e reimplanta a última versão estável. A AWS apresenta as pontuações e os limites como um modelo inicial para adoção, não como uma validação universal do método.