OpenAI detalha como funcionará Agent Trust além de Zero Trust

O problema: zero trust não alcança agentes

White paper de Alexander Klizhentas (CTO) e Diana Jovin (CMO), da Teleport, publicado em 2 de julho de 2026, argumenta que o zero trust é necessário, mas insuficiente para controlar agentes de IA em escala. Os autores traçam a trajetória do zero trust - o paper de Kindervag de 2010, o BeyondCorp do Google em 2014 (resposta aos ataques Operation Aurora) e o paper da NIST em 2020 durante a COVID - e reconhecem que a abordagem se mostrou durável tanto como postura defensiva quanto como habilitadora de produtos digitais escaláveis.

O problema é que agentes operando em milhares ou dezenas de milhares têm características sem equivalente em ambientes humanos ou de software. Um exemplo central: cada agente pode tomar decisões localmente racionais dentro do seu escopo de permissões, mas, multiplicadas em paralelo, essas ações autorizadas individualmente podem degradar a postura de segurança de um sistema sem que nenhum log de auditoria único sinalize algo suspeito. Ou seja, um enxame que otimiza objetivos locais racionais pode produzir resultados globalmente destrutivos, porque não existe estrutura que governe o comportamento emergente.

Os autores também citam duas ameaças adicionais: ataques acelerados por IA, em que agentes autônomos contínuos eliminam a fricção que limitava a velocidade de descoberta e exploração de vulnerabilidades, e a "trifeta letal" descrita por Simon Willison - a combinação de ferramentas que acessam dados privados, expõem conteúdo não confiável manipulável por atacantes e se comunicam externamente, criando condições para exfiltração de dados.

Os três princípios de Agent Trust

O paper propõe estender os três princípios do zero trust (verificar explicitamente, menor privilégio, assumir violação) para a era agêntica:

1. Enforce continuously (verificar explicitamente →): cada agente precisa de identidade única, atestável a um humano ou plataforma, e operar em um runtime confiável que imponha arquitetonicamente os limites de acesso, execução e comunicação externa. Agentes devem iniciar com zero privilégios dentro do runtime. Um exemplo ilustra a falha sem isso: um agente com acesso legítimo a banco de dados de clientes, em runtime persistente, é alvo de prompt injection embutido em um registro e exfiltra dados após concluir a tarefa, usando credenciais nunca revogadas. Runtimes efêmeros eliminam o raio de explosão persistente. Os requisitos operacionais incluem identidade criptográfica via padrões como SPIFFE, identidade delegada com cadeias de delegação explícitas, zero privilégios permanentes com autorização just-in-time e auditoria de runtime à prova de adulteração (prompts, respostas de LLM e raciocínio registrados).

2. Bound collective autonomy (menor privilégio →): estende o menor privilégio ao comportamento coletivo. Um exemplo mostra agentes autorizados a otimizar queries que, sem se comunicar, convergem para criar os mesmos índices em todos os shards de um cluster, saturando o I/O. Ações individualmente autorizadas, mas coletivamente destrutivas - como modificar configurações de segurança ou chamar APIs externas em escala - devem exigir escalonamento para revisão governada antes da execução. Os mecanismos incluem limites de decisão, consenso multiagente (com meta-agentes que avaliam cargas de trabalho contra o objetivo declarado) e restrições de grupo, como limites de taxa e orçamentos para efeitos colaterais.

3. Assume misalignment (assumir violação →): em vez de apenas assumir intrusão, as empresas devem projetar para a inevitabilidade de desalinhamento entre o comportamento do agente e o objetivo declarado - por manipulação adversária (prompt injection, envenenamento de memória, sequestro de objetivo, reward hacking, comprometimento de cadeia de suprimentos) ou por causas não intencionais, como má generalização e mudança de contexto. Requisitos: registro imutável do objetivo do agente no momento da implantação, monitoramento comportamental contínuo, detecção de drift adversário e resposta a incidentes em tempo real com isolamento e preservação de contexto forense.

Fundação e roteiro

O paper enfatiza que o Agent Trust não pode ser implementado sobre uma base imatura de zero trust: é necessária uma camada unificada de identidade em que humanos, máquinas e agentes sejam atores de primeira classe, sem sistemas silosados ou identidades anônimas. Sem isso, é impossível rastrear a atividade dos agentes até o objetivo original.

A sequência recomendada: avaliar a maturidade do zero trust em toda a infraestrutura; implementar capacidades já disponíveis hoje (identidade SPIFFE, zero privilégios permanentes, runtimes confiáveis, linha de base comportamental); e planejar o roteiro para capacidades emergentes que ainda não estão em escala de produção, como detecção de desalinhamento, limites de decisão na camada de execução e consenso multiagente.

A conclusão reformula a postura de segurança: o "assumir violação" do zero trust tratava a intrusão como inevitável; o "assumir desalinhamento" trata a consistência comportamental com os objetivos declarados como um primitivo de segurança.