Do copiloto ao operador: o que muda quando um agente de IA recebe acesso real

Quando a inteligência artificial deixa de sugerir e passa a agir em sistemas da empresa, confiança precisa virar arquitetura operacional: identidade, permissões, testes, métricas, aprovação por risco e reversão.

Em uma página publicada em 14 de setembro, a OpenAI atribui à Perplexity o uso do GPT-6 Astra para redigir comunicações, alterar sistemas reais e monitorar software em produção. Johnny Ho, cofundador e diretor de estratégia da Perplexity, afirma que passou a confiar ao modelo sistemas de ponta a ponta e a checar seu trabalho com bem menos frequência do que fazia com gerações anteriores.

O [case publicado pela OpenAI](https://openai.com/index/perplexity-improving-accuracy-with-astra/) descreve ainda a criação de pequenos programas que simulam respostas de outros serviços para testar um fluxo completo.

Mas não é uma auditoria independente. O texto não informa taxa de erro, volume ou criticidade das mudanças, incidentes, custo, tempo de observação nem regras de aprovação. Sua palavra central é “confiança”, mas confiança não permite reproduzir a decisão.

Ainda assim, o relato mostra uma mudança de categoria: o modelo não apenas escreve, aproxima-se da operação. E essa passagem muda tudo ao redor dele.

Assistir, delegar e operar são três decisões diferentes

Como copiloto, a inteligência artificial recomenda ou prepara código; uma pessoa revisa e executa. Há uma barreira humana antes do sistema real.

Na delegação, o agente recebe um objetivo delimitado, escolhe etapas e usa ferramentas. A pessoa deixa de orientar cada movimento, mas controla os pontos de decisão relevantes.

Na autonomia operacional, o agente age dentro de um perímetro autorizado, observa resultados e ajusta etapas sem pedir confirmação a cada passo. O controle humano define limites, acompanha exceções e interrompe o fluxo quando necessário.

Esses níveis não formam uma escada que toda empresa precisa subir. São escolhas de risco.

| Nível | O que a IA faz | Papel humano | Evidência mínima antes do uso | | --- | --- | --- | --- | | Assistência | recomenda, resume ou prepara uma saída | revisa e executa | qualidade da resposta e revisão adequada ao impacto | | Delegação | planeja e usa ferramentas em escopo delimitado | aprova ações materiais e resolve exceções | testes do fluxo, permissões restritas e registro das ações | | Autonomia operacional | executa ações predefinidas e adapta etapas | define o perímetro, monitora e pode interromper | métricas em produção, trilha de auditoria, limites de impacto e reversão testada |

Um sistema que sugere uma alteração e outro que a aplica podem usar o mesmo modelo, mas não representam o mesmo produto, processo ou risco.

Confiabilidade não cabe em uma nota de benchmark

Um [estudo de pesquisadores de Princeton, aceito na ICML 2026](https://arxiv.org/abs/2602.16666), avaliou 15 modelos em dois benchmarks e separou confiabilidade em consistência, robustez, previsibilidade e segurança. Segundo os autores, ganhos recentes de capacidade produziram avanços bem menores nessas dimensões.

Isso não significa que agentes não devam ser usados. Significa que “acertou a tarefa” é uma medida insuficiente para conceder acesso a sistemas reais.

Uma empresa precisa saber se o agente repete o resultado, como reage a entradas inesperadas, se seus erros são detectáveis e qual é a gravidade máxima de uma falha. Em produção, a média esconde a cauda do erro.

Em 2026, o [Centro Nacional de Excelência em Cibersegurança do NIST](https://www.nccoe.nist.gov/sites/default/files/2026-02/accelerating-the-adoption-of-software-and-ai-agent-identity-and-authorization-concept-paper.pdf) abriu um projeto conceitual sobre identidade e autorização de agentes. Entre as questões estão privilégio mínimo, delegação “em nome de” uma pessoa, registro verificável e mitigação de injeção de prompt.

O documento ainda não é uma norma pronta. Esse é exatamente o ponto: a capacidade está avançando enquanto parte da infraestrutura de controle ainda está sendo desenhada.

Os seis controles antes do acesso real

Dar acesso a um agente não deveria começar pela pergunta “qual modelo é melhor?”. Deveria começar pelo desenho do sistema em que esse modelo vai operar.

1. Identidade própria e privilégio mínimo

Um agente não deve herdar todas as permissões de um usuário nem operar por conta administrativa genérica. Precisa de identidade própria, escopo por tarefa e credenciais revogáveis.

O princípio do privilégio mínimo já existe na segurança de sistemas: processos devem receber apenas o acesso necessário para cumprir a tarefa autorizada. A [orientação do NIST sobre privilégio mínimo](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/800-171r3/NIST.SP.800-171r3.html#sec_3.1.5) inclui explicitamente processos que atuam em nome de usuários.

Ler uma base, escrever nela, excluir registros e exportar dados são permissões diferentes. O agente deve receber apenas a combinação necessária, pelo período necessário e com limites coerentes com a tarefa.

2. Ambiente de teste parecido com a realidade, mas separado dela

Antes da produção, o agente precisa encontrar falhas onde errar não cause o dano que se pretende evitar. Isso envolve dados sintéticos ou protegidos, serviços simulados, cenários adversos e exceções.

O [perfil de risco para IA generativa do NIST](https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf) recomenda testes antes da implantação e em condições próximas às do uso. O teste com dependências simuladas citado no case é coerente com essa lógica, mas não revela quais cenários foram cobertos.

Depois, a entrada pode ser gradual: observar sem agir, executar em baixo volume e ampliar o escopo conforme a evidência se acumula.

3. Aprovação proporcional à consequência

Pedir autorização para cada clique devolve ao humano o trabalho que o agente deveria reduzir. Pedir autorização para nada transforma autonomia em aposta.

A aprovação deve ficar na fronteira do risco. Consultas e ações reversíveis podem ser pré-autorizadas. Comunicação externa, movimentação financeira, dado sensível e mudança de produção exigem alçada explícita. Ações inéditas ou difíceis de reverter voltam para uma pessoa responsável.

A [Anthropic descreve](https://www.anthropic.com/research/trustworthy-agents) ferramentas liberadas, bloqueadas ou condicionadas a aprovação e, em tarefas longas, aprovação do plano antes da execução. É uma escolha da fornecedora, não validação independente, mas ilustra a supervisão concentrada na estratégia e nas exceções.

4. Observabilidade que reconstrói a decisão

Log não é uma pilha de mensagens que ninguém consulta. Uma trilha útil precisa responder: qual objetivo o agente recebeu, que versão estava ativa, quais dados e ferramentas usou, que ações tentou, quais aprovações obteve, o que mudou e qual resultado produziu.

Também precisa gerar medidas de conclusão, intervenção, rejeição, retrabalho, reversão, incidente, custo e tempo, escolhidas conforme o dano possível.

Sem denominador, “checamos menos” é percepção. Com métricas, pode virar evidência.

5. Rollback, interrupção e modo degradado

Toda autonomia precisa de rota de saída: configuração versionada e retorno ao estado anterior; pausa da fila; transformação de ações em rascunhos; revogação de credenciais; ou processamento manual temporário.

O perfil do NIST inclui monitoramento pós-implantação, recuperação, gestão de mudanças e critérios para desativar sistemas que operem fora do uso pretendido. Não basta possuir um botão de emergência. É preciso testar se ele funciona e medir quanto tempo a organização leva para conter e reverter uma ação.

Quanto mais difícil for desfazer, menor deve ser a autonomia concedida.

6. Dono do processo e resposta a incidentes

O fornecedor responde pelo modelo. Quem o conecta à operação responde pelo processo.

Cada agente precisa de um dono de processo, um responsável técnico e uma alçada capaz de suspender a operação. Incidentes e quase-incidentes devem alimentar a revisão de regras, testes e permissões.

Quando todos “acompanham” e ninguém pode interromper, a autonomia é apenas responsabilidade difusa em velocidade de máquina.

Supervisão humana também pode virar teatro

Existe um contraponto importante. Mais aprovações não significam automaticamente mais segurança. Se um fluxo longo interrompe a pessoa dezenas de vezes, ela pode aprovar por cansaço, sem reconstruir o contexto. O humano continua no circuito, mas deixa de exercer julgamento real.

Instruções maliciosas também podem estar escondidas em e-mails, páginas ou documentos. A Anthropic reconhece que nenhuma defesa isolada garante proteção: ambientes mais abertos criam mais entradas e ferramentas poderosas ampliam o dano possível.

Por isso, supervisão não substitui isolamento, permissão mínima e validação. E controle técnico não substitui uma pessoa capaz de decidir quando o contexto foge da regra.

Menos intervenções humanas podem ser consequência de um sistema melhor. Não são, por si só, prova de que ele seja melhor.

Começar estreito é uma decisão de velocidade

A forma mais segura de avançar é escolher um fluxo delimitado, definir o impacto máximo aceitável e produzir evidência.

Antes do piloto, a empresa deveria responder:

1. Qual resultado o agente pode produzir e qual ação está proibida?

2. Que identidade e quais ferramentas ele realmente precisa usar?

3. Quais critérios separam execução automática de aprovação humana?

4. Como um erro será detectado antes de se espalhar?

5. Como a ação será interrompida e revertida?

6. Quais métricas autorizam ampliar, reduzir ou encerrar o piloto?

7. Quem responde quando o comportamento não cabe no roteiro?

Esse trabalho reduz o custo da incerteza e evita apostar a operação em uma demonstração bem-sucedida.

O salto do copiloto para o operador não acontece quando a inteligência artificial recebe mais capacidade. Acontece quando recebe autoridade.

E autoridade nunca deveria vir sozinha.

Menos intervenções humanas não significam menos governança. Significam que a governança saiu da conferência manual de cada passo e entrou na arquitetura do processo: identidade, limites, evidência, escalonamento e reversão.

O agente pode operar o fluxo.

A empresa continua responsável por desenhar o sistema que o deixa operar.