A Microsoft quer que as empresas deixem de presumir que os agentes de IA que instalam jogam do seu lado. Na segunda-feira, 19 de outubro de 2026, alargou o Project Perception, o sistema de segurança baseado em agentes que apresentou em julho, para que passe a supervisionar os agentes que funcionam dentro de uma organização, e não apenas a defendê-la de ataques vindos de fora. A peça central é um conjunto de Guardian Agents, agentes de segurança que vigiam outros agentes, explicam porque mudou o seu nível de risco e podem recomendar ou aplicar medidas de contenção.
O tom é direto. Num texto publicado no blogue oficial da Microsoft, Hayete Gallot, vice-presidente executiva da Microsoft Security, escreve que os modelos de fronteira, seja qual for a sua origem, não merecem confiança. Não por serem maliciosos, explica, mas porque são treinados para cumprir objetivos, podem contornar as regras para os atingir e não seguem as normas da organização, enquanto os agentes construídos sobre eles têm muitas vezes amplo acesso a dados e ferramentas. A Microsoft chama-lhes insiders agênticos. Num segundo texto, Nadim Abdo, vice-presidente para identidade e acesso à rede, assenta o produto num princípio enunciado este mês pelo presidente executivo, Satya Nadella: o controlo sobre o que um agente pode fazer tem de ficar fora do modelo.
O grosso do anúncio é um conjunto de controlos em camadas. A Microsoft diz que as suas ferramentas de deteção reconhecem agora mais 35 tipos de agentes executados localmente, 60 no total, entre eles o Claude Code, o OpenAI Codex e o GitHub Copilot, e que os podem reunir num registo único partilhado com o Microsoft Agent 365. O Microsoft Entra Agent ID ganha tipos de identidade para agentes locais e para os que forem encontrados por sensores de segurança, o que permite aplicar políticas a um agente mesmo que nunca tenha sido integrado oficialmente. Os agentes podem correr em ambientes isolados como o Microsoft Execution Container, e a nova funcionalidade Dynamic Permissions atribui a cada um autoridade própria, limitada à tarefa e ao tempo necessário, sem nunca ultrapassar o que é permitido ao utilizador humano responsável.
Duas outras funcionalidades tratam das mudanças a meio de uma tarefa. O Dynamic Agent Risk mantém uma avaliação permanente com sinais de identidade, dados, terminais, rede, nuvem e execução, além do comportamento do próprio agente. O Dynamic Conditional Access, uma extensão do Entra Conditional Access, traduz o aumento do risco em respostas graduais: manter a leitura e bloquear a escrita, reduzir os recursos ou caminhos de rede acessíveis, revogar acessos temporários, exigir prova de aprovação humana antes de um passo com consequências ou isolar e parar o agente. A Microsoft quer ainda integrar no cálculo do risco sinais do próprio modelo, como a cadeia de raciocínio, mantendo a aplicação das regras independente dele.
Por cima de tudo ficam os Guardian Agents e novos Playbooks. As pessoas definem políticas, limites de aprovação e regras de delegação, os Playbooks descrevem o resultado de segurança pretendido e os Guardian Agents fazem a investigação e a resposta. A Microsoft afirma que já gere internamente centenas de milhares de agentes e que desenhou estas funções a partir dessa experiência.
O lançamento surge depois de vários incidentes de segurança de IA tornados públicos e do ensaio publicado este mês em que Nadella defendeu que os modelos sejam tratados como riscos internos. Também convém à empresa do ponto de vista comercial. O TechCrunch lembrou que a Microsoft investiu tanto na OpenAI como na Anthropic e, ainda assim, incentiva agora os clientes a comprar a supervisão de agentes ao seu fornecedor de nuvem e de segurança, e não aos criadores dos modelos.
Os textos da Microsoft não dizem que funcionalidades estão disponíveis, em pré-visualização ou apenas planeadas, nem quanto custam, e remetem mais pormenores para a conferência Ignite. Nenhuma das afirmações sobre a capacidade dos Guardian Agents para detetar ou conter agentes problemáticos foi testada de forma independente, e o cálculo de risco com base na cadeia de raciocínio depende de os fornecedores de modelos disponibilizarem esses dados.