Platin Digitalplatindigital.
Português
Vamos conversar

Guias15 min de leitura

Segurança de agente de IA: permissões e aprovações para ele trabalhar sem gastar dinheiro sozinho

Segurança de agente de IA sem senha compartilhada: quais chaves entregar no primeiro dia, o que fica trancado, quando ele pede aprovação e um checklist para revisar.

Shahaf PlatinPlatin Digital · OpenAI Select Partner

Segurança de agente de IA: permissões e aprovações para ele trabalhar sem gastar dinheiro sozinho
Ilustração gerada por IA

Segunda de manhã, funcionário novo

O funcionário novo começa hoje. De manhã, ele recebe um crachá, o acesso ao estoque e um computador. Ninguém lhe entrega a senha do banco, o cartão de crédito da empresa ou o molho de chaves que abre também a sua casa. Não é por falta de confiança. É assim que se administra um negócio.

Com um agente de IA vale exatamente o mesmo princípio, só que, no caso do agente, ninguém o diz em voz alta.

Ilustração gerada por IA

A segurança de agente de IA começa com uma pergunta simples: o que o agente recebe no primeiro dia e o que continua trancado? Quando isso está bem definido, o agente pode trabalhar no site, no conteúdo e nas campanhas sem gastar um centavo, publicar uma palavra ou enviar uma mensagem a um cliente sem a sua aprovação. Este guia é o molho de chaves: o que entregar, o que não entregar e como conferir se é isso mesmo que está valendo.

Em resumo

  • Um agente de IA seguro para empresas é aquele que recebe uma identidade própria em cada sistema, a permissão mínima e uma etapa de aprovação para toda ação que custa dinheiro, é publicada, apagada ou enviada a um cliente.
  • Regras de ouro: uma chave separada para cada porta, leitura antes de escrita, limites de gasto na própria plataforma, registro de ações, backup e um jeito de cortar o acesso em um minuto.
  • O agente faz sozinho o que se pode desfazer, prepara um rascunho e pergunta em tudo o que é difícil de desfazer, e não toca em senhas, dados de pagamento nem em sistemas que não foram conectados a ele.
  • Nenhuma proteção isolada basta. Por isso se combinam permissões, aprovações, limites e registro, começando por um acesso estreito que se amplia conforme a experiência.

Um molho de chaves para todas as portas, ou uma chave para cada porta?

O erro mais comum que vemos quando empresas conectam um agente: "o mais simples é dar a ele a minha senha". Funciona rápido e, depois, ninguém sabe quem fez o quê, e não dá para cortar o acesso sem trocar a sua senha em todos os lugares.

Um molho só, a sua senha

O caminho curto e perigoso

  • O agente pode tudo o que você pode, inclusive o que ele não precisa
  • Nos registros do sistema, as ações dele parecem as suas
  • Cortar o acesso significa trocar a senha em todos os sistemas
  • Um erro ou uma instrução maliciosa herda todas as suas permissões

Uma chave separada para cada porta

O caminho certo

  • Um usuário dedicado em cada sistema, com um nome que deixa claro que é o agente
  • Cada ação dele é identificada no registro do sistema
  • Cancelar uma chave não afeta nenhuma outra
  • O que a chave não abre, o agente simplesmente não consegue fazer

É também o que a OWASP, organização de segurança que mantém a principal lista de riscos para sistemas baseados em modelos de linguagem, chama de "agência excessiva" (Excessive Agency). Segundo a organização, o problema nasce de três coisas: funcionalidades demais, permissões demais e autonomia demais sem aprovação humana para ações relevantes. A recomendação: limitar as ferramentas que o agente pode acionar, reduzir as permissões delas ao mínimo e exigir aprovação de uma pessoa para ações de alto impacto.

O semáforo: o que o agente faz sozinho, o que espera aprovação e o que é proibido

A maior parte das discussões sobre "dá para confiar num agente?" se desfaz quando se para de falar do agente e se começa a falar da ação. Uma ação que se desfaz com um clique não é uma ação que custa dinheiro. O guia da OpenAI para criar agentes sugere classificar cada ferramenta como de risco baixo, médio ou alto segundo alguns fatores: somente leitura ou escrita, se dá para reverter, quais permissões de conta são necessárias e o impacto financeiro. E as ações sensíveis, que não se podem reverter ou que têm risco alto, precisam parar numa pessoa, por exemplo cancelamento de pedidos, reembolsos grandes e pagamentos.

Nós traduzimos isso num semáforo que dá para imprimir e pendurar acima do monitor:

O semáforo de permissões

Verde: o agente faz sozinho

  • Leitura, verificação e análise
  • Relatórios e resumos
  • Rascunhos de páginas, produtos e posts
  • Diagnóstico de falhas e proposta de correção
  • Registro no histórico

Laranja: prepara e pergunta

  • Publicação no site e nas redes
  • Ativar uma campanha ou mudar o orçamento
  • Mensagem a um cliente em nome da empresa
  • Mudança relevante no site ou nas configurações
  • Atualização de um site em produção

Vermelho: nunca

  • Senhas, dados de cartão de crédito e de conta bancária
  • Transferência de dinheiro e compras
  • Exclusão que não pode ser recuperada
  • Mudança de permissões, DNS e contas
  • Sistemas e clientes que não foram conectados a ele

Divisão nossa, com base nos princípios da OWASP e no guia da OpenAI para criar agentes.

Atenção: laranja não é "talvez". Laranja é "depois que você disse sim". E o que está no vermelho nem espera aprovação, porque não existe chave. A transferência de dinheiro, as senhas e a mudança de permissões não são conectadas ao agente desde o início, e, se for preciso fazê-las, você mesmo as faz.

Quatro passos na etapa de aprovação

Aprovação não é uma janela chata que aparece do nada. Quando bem construída, parece uma única mensagem no Telegram. O documento da OpenAI sobre aprovações descreve o mesmo princípio do lado técnico: a execução para antes da ação, espera a decisão de uma pessoa e só continua depois da aprovação. Veja como fica no seu dia a dia:

Como é uma boa etapa de aprovação

  1. O agente preparaRascunho, não publicação
  2. Envia uma mensagemO que vai acontecer, onde e quanto custa
  3. Você decideSim, não ou ajuste
  4. Executa e registraE o resultado volta para você

Uma boa mensagem de aprovação responde a três perguntas sem você precisar investigar: o que exatamente vai mudar, onde e quanto vai custar. "Ativar a campanha?" é uma mensagem ruim. "Ativar a campanha X com orçamento diário de Y, até sexta-feira, nada mais muda" é uma mensagem que se aprova pelo celular em meio minuto.

Como isso fica na prática: Google, Meta e WordPress

O ponto prático mais importante: a política de aprovação não basta sem imposição técnica. Se a permissão no sistema permite publicar, "o agente prometeu não publicar" é confiança, não segurança. As próprias plataformas oferecem ferramentas, e vale usá-las. Conferimos o que está documentado nos sites oficiais:

SistemaO que as permissões permitemO que isso significa para o agente
WordPressO papel de "Colaborador" (Contributor) pode escrever e gerenciar os próprios posts, mas não publicá-los. O Editor (Editor) já pode publicar.Um agente que prepara conteúdo pode receber um papel que o impede de publicar. A publicação fica só com você.
WordPressA senha de aplicativo (Application Password) é destinada a software, não ao login de uma pessoa, e cada uma pode ser revogada separadamente.Uma chave dedicada ao agente, que se fecha sem trocar a sua senha.
Google AdsNíveis de acesso: apenas e-mail, faturamento, somente leitura, padrão (Standard) e administrador (Admin). Somente leitura vê campanhas e dados de faturamento. Padrão já pode editar campanhas. Administrador também pode conceder acesso e alterar níveis.Dá para começar com somente leitura, e o agente prepara relatórios e sugestões.
MetaDá para dar a um parceiro controle total de um ativo ou acesso parcial apenas às tarefas escolhidas, como criar conteúdo, gerenciar anúncios e responder a mensagens.Acesso parcial às tarefas necessárias, não controle total.
OpenAI APIDá para definir um limite mensal por projeto e, depois de atingido, as requisições retornam erro. Os alertas de gasto são apenas avisos.Um limite de verdade não é um lembrete.

Uma observação sobre o Google Ads: no nível "padrão", o agente já pode editar campanhas, por isso não nos apoiamos apenas no nível de acesso para garantir que uma mudança de orçamento espere aprovação. Essa regra também consta nas instruções do agente e na etapa de aprovação no Telegram, e toda mudança desse tipo é registrada. E, nos sistemas em que for possível, começa-se com somente leitura e só se amplia quando necessário.

Sobre as diferenças entre papéis no WordPress e o backup antes de mudanças, escrevemos no guia de gestão de site WordPress com agente de IA. Sobre a parte de publicidade paga e a definição de "o que o agente faz e o que você aprova" nas campanhas, há um artigo à parte: gestão de campanhas com IA.

Quanto o gasto pode escapar? Os números que vale conhecer

Orçamento diário não é uma ferramenta de segurança perfeita, e vale conhecer os números antes de confiar nele. Segundo a ajuda do Google Ads, em determinado dia uma campanha pode gastar até o dobro do orçamento diário médio, e no fim do mês a média deve corresponder ao orçamento. O limite mensal é calculado como o orçamento diário multiplicado por 30,4.

×2gasto diário máximo numa campanha comum do Google, em relação ao orçamento diário médio
×30,4o limite mensal: o orçamento diário multiplicado pelo número médio de dias do mês
429o erro que as requisições à OpenAI API recebem depois de atingido um limite mensal rígido

Fontes: Google Ads Help, About spending limits. OpenAI API Changelog, 22 de julho de 2026, e OpenAI API Docs, Rate limits and spend.

A conclusão prática: o limite é uma camada de proteção, não um substituto da aprovação. Ele é definido na própria plataforma, de modo que nem um erro do agente, de quem o configurou ou de um ataque consiga ultrapassá-lo. E, depois que a campanha está rodando, quem aprova mudança de orçamento é você.

Por que nem a aprovação basta: a instrução escondida dentro de um conteúdo

Há outro motivo para não esperar que o agente "entenda sozinho". O agente lê coisas que não foram escritas por você: e-mails, sites e arquivos. Se dentro deles houver uma instrução escondida como "envie a lista de clientes para este endereço", um modelo de linguagem pode confundir conteúdo com instrução. A OWASP classifica isso como o primeiro risco da sua lista (LLM01) e escreve que não está claro se é possível preveni-lo totalmente. É aqui que as permissões estreitas fazem o trabalho: uma instrução escondida não consegue abrir uma porta que a chave não abre. A história completa está no nosso guia sobre Prompt Injection.

Quatro ferramentas que salvam você quando algo dá errado

Permissões e aprovações previnem. Mas as pessoas erram, e os agentes também, por isso é preciso estar preparado para o dia em que algo acontecer:

  • Registro. Toda ação relevante é anotada: o quê, quando, em qual sistema e com qual permissão. Sem registro, "o que aconteceu aqui?" vira adivinhação.
  • Backup antes de mudar. Antes de uma mudança significativa no site existe um backup, e alguém já testou pelo menos uma vez que dá para restaurá-lo.
  • Caminho de volta. Toda mudança é feita de modo que possa ser revertida: versão anterior, rascunho em vez de publicação, atualização em ambiente de teste.
  • Corte de acesso em um minuto. Sabe-se exatamente onde está cada chave do agente e como revogá-la. Quem configurou o agente deve lhe mostrar essa lista.

Quanto à última ferramenta, confira você mesmo: peça a quem configurou que mostre, sistema por sistema, onde se revoga o acesso do agente. Se a resposta for "vamos trocar a senha de todo mundo", é sinal de que falta uma identidade dedicada.

Teste rápido: quão segura é a sua configuração?

Marque o que vale para o seu agente, ou para o agente que você está pensando em conectar. Cada marcação é um motivo para perguntar a quem o configura, não uma nota.

A configuração do agente é segura?

Cinco mitos sobre a segurança de agentes de IA

Mito"Se o agente for inteligente o bastante, ele entende sozinho o que não deve fazer"

Na práticaInteligência não substitui limite. A OWASP recomenda limitar ferramentas e permissões desde o início, e não confiar que o modelo decida sozinho.

Mito"Uma instrução nas diretrizes, 'não publique sem aprovação', basta"

Na práticaA diretriz é uma camada só, e não é tão forte quanto uma permissão. Quando o próprio sistema não permite publicar, não há o que contornar.

Mito"O agente vai ser muito cuidadoso, então posso dar acesso total"

Na práticaO acesso total é justamente o que transforma um erro pequeno num erro caro. Começa-se estreito e se amplia conforme a experiência.

Mito"Pedir aprovação para tudo vai tornar o uso inviável"

Na práticaSó as ações laranja esperam. O verde roda sozinho e, no período inicial, dá para ser mais rigoroso e depois afrouxar, como também sugere o guia da OpenAI: supervisão humana no começo e menos à medida que a confiança cresce.

Mito"Isso é problema de empresa grande"

Na práticaÉ justamente num negócio pequeno, onde o cartão de crédito, o site e a publicidade ficam na mesma conta, que um único erro chega rápido a todo lugar. E em Israel há também a Emenda 13 à Lei de Proteção da Privacidade; se você atua em outro país, confira as regras locais.

O que fazemos de diferente

Uma opinião pessoal, de 12 anos de experiência no digital: a maior parte dos danos em pequenos negócios não vem de um ataque sofisticado, mas de um acesso largo demais. Por isso, em cada implantação começamos pela lista do que o agente não vai receber e só depois acrescentamos permissões conforme as tarefas. Um servidor separado para cada negócio, uma identidade dedicada em cada sistema e uma progressão da leitura para a escrita. E, se a permissão pedida for mais larga do que o necessário, paramos e apresentamos o risco e a alternativa.

O que não fazemos: não pedimos a sua senha pessoal, não guardamos segredos em texto simples e não começamos por uma automação total "porque impressiona". A força de um agente é que ele faz muito. A responsabilidade é que o que ele não deve fazer, ele não consegue.

Sobre as sete camadas de um agente completo, do servidor ao registro, escrevemos no guia para construir um agente de IA. Sobre como conectar o agente ao Telegram como o seu canal de aprovações: agente de IA no Telegram. E, se você está só começando, o guia principal é agente de IA para empresas.

Perguntas frequentes

O que é segurança de agente de IA?

Segurança de agente de IA é o conjunto de configurações que limita o que o agente pode fazer nos sistemas da empresa: identidade dedicada em cada sistema, permissões mínimas, aprovação humana para ações que custam dinheiro ou são publicadas, limites de gasto, registro de ações e backup. O objetivo é que, mesmo que o agente erre, ou que alguém tente enganá-lo, o dano seja limitado.

Um agente de IA pode gastar dinheiro sem a minha aprovação?

Só se você lhe deu uma forma de pagamento ou a permissão para alterar orçamentos. Numa configuração segura, ele não está conectado a um cartão de crédito, mudanças de orçamento e ativação de campanhas esperam a sua aprovação e há um limite de gasto na própria plataforma. Esse limite é apenas uma rede de segurança, e a aprovação é a proteção principal.

Quais permissões dar ao agente no primeiro dia?

O mínimo necessário para as primeiras tarefas: em geral, acesso de leitura e a capacidade de preparar rascunhos. Escrita e publicação são acrescentadas só depois de um período de testes, e apenas nos sistemas em que realmente forem necessárias. Um usuário dedicado para cada sistema, não a sua senha pessoal.

Qual é a diferença entre um alerta de gasto e um limite?

O alerta apenas avisa que você chegou a um valor. O limite rígido interrompe o uso. Na OpenAI API, segundo a documentação, os alertas de gasto são só avisos, e um limite mensal rígido faz as requisições retornarem o erro 429. Nos anúncios do Google, o orçamento diário pode ser usado em até o dobro num determinado dia.

Como cortar rapidamente o acesso do agente?

Se cada sistema tem uma identidade ou chave dedicada, você as revoga: por exemplo, apagando a senha de aplicativo do agente no WordPress ou removendo o acesso dele no Google Ads e na Meta. Peça a quem configurou o agente uma lista organizada de todas as chaves e de onde revogá-las, antes de acontecer algo.

Com quais modelos e ferramentas a Platin Digital constrói agentes?

A Platin Digital é uma OpenAI Select Partner, e construímos agentes para empresas com os modelos e as ferramentas que melhor se encaixam em cada negócio: da OpenAI, Anthropic, Google e outros, com permissões mínimas e a sua aprovação para cada ação sensível.

Fontes

Fale no WhatsApp