Hoje, a Microsoft está lançando o novo Relatório Cyber Pulse para fornecer aos líderes insights e orientações simples e práticas sobre novos riscos de segurança cibernética. Uma das preocupações mais prementes da atualidade é a governação da IA e dos agentes autónomos. Os agentes de IA estão crescendo mais rápido do que algumas empresas conseguem perceber – e essa lacuna de visibilidade é um risco comercial.1 Assim como as pessoas, os agentes de IA exigem proteção por meio de forte observabilidade, governança e segurança usando princípios de Zero Belief. Como destaca o relatório, as organizações que tiverem sucesso na próxima fase da adoção da IA serão aquelas que se moverem com velocidade e reunirem equipas de negócios, TI, segurança e programadores para observar, governar e proteger a sua transformação da IA.
A formação de agentes não se limita a funções técnicas; hoje, funcionários em diversos cargos criam e utilizam agentes no trabalho diário. Mais de 80% das empresas Fortune 500 hoje usam agentes ativos de IA criados com ferramentas de baixo código/sem código.2 A IA é onipresente em muitas operações, e agentes generativos alimentados por IA estão incorporados em fluxos de trabalho em vendas, finanças, segurança, atendimento ao cliente e inovação de produtos.
Com a expansão do uso de agentes e a multiplicação das oportunidades de transformação, agora é a hora de implementar controles básicos. Os agentes de IA devem obedecer aos mesmos padrões que os funcionários ou contas de serviço. Isso significa aplicar princípios de segurança Zero Belief de longa information de forma consistente:
- Acesso com privilégios mínimos: forneça a cada usuário, agente de IA ou sistema apenas o que eles precisam, nada mais.
- Verificação explícita: sempre confirme quem ou o que está solicitando acesso usando identidade, integridade do dispositivo, localização e nível de risco.
- Suponha que o comprometimento possa ocorrer: Projete sistemas esperando que os ciberataques entrem.
Esses princípios não são novos e muitas equipes de segurança implementaram Princípios de confiança zero em sua organização. A novidade é a sua aplicação a utilizadores não humanos que operam em escala e velocidade. As organizações que incorporarem esses controles em sua implantação de agentes de IA desde o início serão capazes de avançar mais rapidamente, construindo confiança na IA.
A ascensão de agentes de IA liderados por humanos
O crescimento dos agentes de IA expande-se por muitas regiões do mundo, desde as Américas à Europa, Médio Oriente e África (EMEA) e Ásia.
De acordo com a Cyber Pulse, setores líderes como software program e tecnologia (16%), manufatura (13%), instituições financeiras (11%) e varejo (9%) estão usando agentes para apoiar tarefas cada vez mais complexas – elaboração de propostas, análise de dados financeiros, triagem de alertas de segurança, automatização de processos repetitivos e apresentação de insights na velocidade da máquina.3 Esses agentes podem operar em modos assistivos, respondendo às solicitações do usuário, ou de forma autônoma, executando tarefas com o mínimo de intervenção humana.
E, diferentemente do software program tradicional, os agentes são dinâmicos. Eles agem. Eles decidem. Eles acessam dados. E cada vez mais interagem com outros agentes.
Isso muda fundamentalmente o perfil de risco.
O ponto cego: crescimento do agente sem observabilidade, governança e segurança
Apesar da rápida adoção de agentes de IA, muitas organizações lutam para responder a algumas questões básicas:
- Quantos agentes estão operando na empresa?
- Quem os possui?
- Que dados eles tocam?
- Quais agentes são sancionados – e quais não são?
Esta não é uma preocupação hipotética. Shadow IT existe há décadas, mas IA de sombra introduz novas dimensões de risco. Os agentes podem herdar permissões, acessar informações confidenciais e gerar resultados em escala, às vezes fora da visibilidade das equipes de TI e segurança. Os maus atores podem explorar o acesso e os privilégios dos agentes, transformando-os em agentes não intencionais. agentes duplos. Assim como os funcionários humanos, um agente com muito acesso — ou com instruções erradas — pode se tornar uma vulnerabilidade. Quando os líderes não têm capacidade de observação no seu ecossistema de IA, o risco acumula-se silenciosamente.
De acordo com o relatório Cyber Pulse, 29% dos funcionários já recorreram a agentes de IA não autorizados para tarefas de trabalho.4 Esta disparidade é digna de nota, pois indica que inúmeras organizações estão a implementar capacidades e agentes de IA antes de estabelecerem controlos apropriados para gestão de acesso, proteção de dados, conformidade e responsabilização. Em sectores regulamentados, como os serviços financeiros, os cuidados de saúde e o sector público, esta lacuna pode ter consequências particularmente significativas.
Por que a observabilidade vem em primeiro lugar
Você não pode proteger o que não pode ver e não pode gerenciar o que não entende. Observabilidade é ter um plano de controle em todas as camadas da organização (TI, segurança, desenvolvedores e equipes de IA) para compreender:
- Quais agentes existem
- Quem os possui
- Quais sistemas e dados eles tocam
- Como eles se comportam
No relatório Cyber Pulse, descrevemos cinco capacidades principais que as organizações precisam estabelecer para uma verdadeira observabilidade e governança dos agentes de IA:
- Registro: um registro centralizado atua como uma única fonte de verdade para todos os agentes da organização – agentes sancionados, terceiros e agentes paralelos emergentes. Esse inventário ajuda a evitar a dispersão de agentes, permite a responsabilização e apoia a descoberta, ao mesmo tempo que permite que agentes não sancionados sejam restringidos ou colocados em quarentena quando necessário.
- Controle de acesso: cada agente é governado usando os mesmos controles de acesso orientados por identidade e políticas aplicados a usuários humanos e aplicativos. As permissões de privilégio mínimo, aplicadas de forma consistente, ajudam a garantir que os agentes possam acessar apenas os dados, sistemas e fluxos de trabalho necessários para cumprir sua finalidade — nem mais, nem menos.
- Visualização: painéis e telemetria em tempo actual fornecem insights sobre como os agentes interagem com pessoas, dados e sistemas. Os líderes podem ver onde os agentes estão operando, compreender as dependências e monitorar o comportamento e o impacto, apoiando a detecção mais rápida de uso indevido, desvio ou risco emergente.
- Interoperabilidade: os agentes operam em plataformas Microsoft, estruturas de código aberto e ecossistemas de terceiros sob um modelo de governança consistente. Essa interoperabilidade permite que os agentes colaborem com pessoas e outros agentes em vários fluxos de trabalho, enquanto permanecem gerenciados dentro dos mesmos controles corporativos.
- Segurança: As proteções integradas protegem os agentes contra uso indevido interno e ameaças cibernéticas externas. Sinais de segurança, aplicação de políticas e ferramentas integradas ajudam as organizações a detectar antecipadamente agentes comprometidos ou desalinhados e a responder rapidamente, antes que os problemas se transformem em danos comerciais, regulatórios ou de reputação.
Governança e segurança não são a mesma coisa – e ambas são importantes
Um esclarecimento importante emergente do Cyber Pulse é o seguinte: governança e segurança estão relacionadas, mas não são intercambiáveis.
- Governança outline propriedade, responsabilidade, política e supervisão.
- Segurança impõe controles, protege o acesso e detecta ameaças cibernéticas.
Ambos são obrigatórios. E nenhum deles pode ter sucesso isoladamente.
A governança da IA não pode residir apenas na TI, e a segurança da IA não pode ser delegada apenas aos diretores de segurança da informação (CISOs). Este é um responsabilidade multifuncionalabrangendo questões jurídicas, conformidade, recursos humanos, ciência de dados, liderança empresarial e conselho.
Quando o risco de IA é tratado como um risco empresarial central – juntamente com o risco financeiro, operacional e regulatório – as organizações estão melhor posicionadas para agir com rapidez e segurança.
A segurança e a governação fortes fazem mais do que reduzir o risco – permitem a transparência. E a transparência está rapidamente se tornando uma vantagem competitiva.
Da gestão de riscos à vantagem competitiva
Este é um momento emocionante para as principais empresas de fronteira. Muitas organizações já estão a aproveitar este momento para modernizar a governação, reduzir a partilha excessiva de dados e estabelecer controlos de segurança que permitam uma utilização segura. Estão a provar que a segurança e a inovação não são forças opostas; eles são reforçadores. A segurança é um catalisador para a inovação.
De acordo com o Relatório Cyber Pulseos líderes que agirem agora irão mitigar os riscos, desbloquear a inovação mais rápida, proteger a confiança dos clientes e criar resiliência na própria estrutura das suas empresas alimentadas pela IA. O futuro pertence às organizações que inovam à velocidade da máquina e observam, governam e protegem com a mesma precisão. Se acertarmos, e sei que o faremos, a IA se tornará mais do que um avanço tecnológico.torna-se um avanço na ambição humana.
Para saber mais sobre as soluções de segurança da Microsoft, visite nosso web site. Marque o Weblog de segurança para acompanhar nossa cobertura especializada em questões de segurança. Além disso, siga-nos no LinkedIn (Segurança da Microsoft) e X (@MSFTSegurança) para obter as últimas notícias e atualizações sobre segurança cibernética.
1Índice de segurança de dados da Microsoft 2026: Unificando a proteção de dados e a inovação em IA, Microsoft Safety, 2026.
2Com base em agentes de medição de telemetria próprios da Microsoft criados com o Microsoft Copilot Studio ou o Microsoft Agent Builder que estiveram em uso durante os últimos 28 dias de novembro de 2025.
3As métricas de agente regional e do setor foram criadas usando agentes de medição de telemetria próprios da Microsoft criados com o Microsoft Copilot Studio ou o Microsoft Agent Builder que estavam em uso durante os últimos 28 dias de novembro de 2025.
4Pesquisa multinacional de julho de 2025 com mais de 1.700 profissionais de segurança de dados encomendada pela Microsoft ao Speculation Group.
Metodologia:
As métricas de agente regional e do setor foram criadas usando agentes de medição de telemetria próprios da Microsoft criados com o Microsoft Copilot Studio ou o Microsoft Agent Builder que estavam em uso durante os últimos 28 dias de novembro de 2025.
Índice de segurança de dados de 2026:
Uma pesquisa on-line multinacional de 25 minutos foi realizada de 16 de julho a 11 de agosto de 2025, entre 1.725 líderes de segurança de dados.
As perguntas centraram-se no cenário de segurança de dados, incidentes de segurança de dados, garantia do uso de IA generativa pelos funcionários e uso de IA generativa em programas de segurança de dados para destacar comparações com 2024.
Foram realizadas entrevistas aprofundadas de uma hora com 10 líderes de segurança de dados nos Estados Unidos e no Reino Unido para reunir histórias sobre como eles estão abordando a segurança de dados em suas organizações.
Definições:
Agentes Ativos são 1) implantados em produção e 2) têm alguma “atividade actual” associada a eles nos últimos 28 dias.
“Atividade actual” é definido como 1+ envolvimento com um usuário (agentes auxiliares) OU 1+ execuções autônomas (agentes autônomos).