Permissões limitadas para agentes de IA

Contexto

Um agente que organiza o seu email precisa de ler mensagens. Se também puder enviar respostas, pode enviar uma por engano. Alguém pode até esconder instruções num email para o levar a enviar um ficheiro. Verifique o que pode fazer com o acesso que lhe concede.

Dê ao agente apenas o acesso necessário a esta tarefa. As equipas de segurança chamam a isto privilégio mínimo. É a regra que aplicaria a um novo colega no primeiro dia.

Permissões e prompts

Peça ao agente que prepare rascunhos das respostas e limite as suas permissões à criação de rascunhos. Essa definição impede-o de enviar mensagens mesmo que interprete mal as suas instruções. O quadro de Singapura para a IA agêntica recomenda controlos do sistema para impor aprovações sempre que possível.

A OWASP chama a este risco capacidade de ação excessiva: um sistema de IA com mais funções, permissões ou autonomia do que a tarefa exige. A sua edição de 2026 recomenda que uma pessoa confirme ações privilegiadas, irreversíveis ou visíveis no exterior.

Injeção de prompts

Emails, páginas web e documentos partilhados podem conter texto escrito para influenciar uma IA que os leia. Isto é injeção de prompts. O National Cyber Security Centre do Reino Unido alerta que o problema poderá nunca ser totalmente resolvido, pelo que a defesa passa por limitar o que um sistema enganado pode fazer.

O investigador de segurança Simon Willison descreve uma «combinação tripla letal»: um agente pode ler os seus dados privados, ler conteúdo de desconhecidos e enviar informação para o exterior. Um desconhecido pode esconder nesse conteúdo um pedido para levar o agente a enviar-lhe os seus dados. Só dê os três tipos de acesso ao mesmo agente se a sua equipa de informática o tiver concebido assim.

Não precisa de detetar todos os ataques. Repare quando um agente quer de repente fazer algo que não pediu, interrompa-o e comunique o caso.

Práticas

01Comece por acesso só de leitura ou limitado a rascunhos e acrescente permissões uma de cada vez.
02Confirme tudo o que seja irreversível: enviar, pagar, eliminar, partilhar fora da organização.
03Evite dar ao mesmo agente, em simultâneo, os seus dados privados, conteúdo de desconhecidos e uma forma de enviar informação para o exterior.
04Interrompa um agente que queira fazer algo que não pediu e comunique o caso.
05Defina limites de dinheiro, destinatários e tempo e saiba como desligar o agente.

Exemplos de prompts

Compare os dois prompts e veja que passo precisa de dar por si.

Email e agentes

Organização da caixa de entrada

Antes

Percorre a minha caixa de entrada e trata de tudo o que for urgente.

Depois

Percorre os emails de hoje. Prepara respostas às mensagens urgentes e guarda-as em Rascunhos. Lista separadamente qualquer email que peça um pagamento, uma alteração de dados bancários, uma palavra-passe ou um ficheiro.

A sua parte

Configure o agente com acesso limitado a rascunhos, se a ferramenta permitir, para que o limite não dependa do prompt. Antes de agir sobre qualquer pedido de pagamento, ligue de volta para um número que já tem.

Porque funciona: O acesso limitado a rascunhos mantém o envio sob o seu controlo. Pode rever separadamente os pedidos assinalados e confirmar os invulgares por telefone.

Pesquisa

Pesquisa de fornecedores na web

Antes

Pesquisa estes cinco fornecedores online e depois envia um email a cada um a pedir um orçamento.

Depois

Pesquisa estes cinco fornecedores na web e resume o que cada um oferece, com ligações. Prepara um pedido de orçamento para cada um, mas não o envies.

A sua parte

Não dê ao agente permissão para enviar emails nesta tarefa e leia os rascunhos antes de os enviar. As páginas web podem conter instruções ocultas.

Porque funciona: Sem permissão para enviar emails, falta a um agente que lê a web aberta uma parte da combinação tripla letal.

Operações e projetos

Automatização de uma encomenda de rotina

Antes

Todas as segundas-feiras, verifica os níveis de existências e encomenda o que estiver a faltar.

Depois

Todas as segundas-feiras, verifica os níveis de existências e prepara uma lista de reposição para os artigos abaixo do mínimo. Encomendas superiores a 500 € ou de novos fornecedores vêm para mim para aprovação.

A sua parte

Defina o limite de despesa no próprio sistema de compras, além do prompt, e reveja as encomendas das primeiras semanas.

Porque funciona: As encomendas de rotina de baixo valor podem decorrer dentro de limites. O limite só protege se o sistema o impuser.

Evidências

O Top 10 de 2026 da OWASP para aplicações com LLM inclui a injeção de prompts e a capacidade de ação excessiva entre os principais riscos e recomenda o privilégio mínimo e a confirmação humana de ações privilegiadas, irreversíveis ou visíveis no exterior. [OWASP]
O National Cyber Security Centre do Reino Unido recomenda limites fixos, independentes da IA, ao que os sistemas podem fazer, porque a injeção de prompts poderá nunca ser totalmente resolvida. [NCSC do Reino Unido]
Dados privados, conteúdo não fiável e comunicação externa no mesmo agente tornam possível o roubo de dados por injeção de prompts. [Willison]
Na definição de privilégio mínimo do NIST, cada utilizador ou sistema recebe apenas os recursos e o acesso necessários ao seu trabalho. [NIST]
O quadro de Singapura para a IA agêntica prefere aprovações impostas por controlos do sistema a aprovações pedidas em prompts. [IMDA]

Estudos de caso e cenários

Prática em equipa

Dê a cada agente partilhado uma ficha de permissões: finalidade, a que pode aceder e o que pode fazer, o que exige aprovação, os limites e quem o pode interromper.

Ferramenta de equipaFicha de permissões do agente

Fontes

Estas fontes sustentam os factos desta página. Explicamos o que se pode concluir de cada uma e quais são os seus limites. As recomendações são nossas. Ver todas as fontes que utilizamos.

OWASP Top 10 for LLM Applications, 2026 edition OWASP Gen AI Security Project · 3 de agosto de 2026 · Orientações de segurança Lista os principais riscos de segurança das aplicações de IA, incluindo a injeção de prompts (LLM01), que afirma ainda não poder ser prevenida de forma fiável, e a capacidade de ação excessiva (LLM03): mais funções, permissões ou autonomia do que a tarefa exige. Recomenda privilégio mínimo e confirmação humana de ações privilegiadas, irreversíveis ou visíveis no exterior. Limites: Orientações da comunidade, não uma norma formal.
Prompt injection is not SQL injection (it may be worse) UK National Cyber Security Centre · 8 de dezembro de 2025 · Orientações oficiais Explica que os modelos de IA não têm uma fronteira fiável entre dados e instruções, pelo que a injeção de prompts poderá nunca ser totalmente resolvida, e recomenda limites fixos, independentes da IA, ao que os sistemas podem fazer, privilégio mínimo e registos de atividade. Limites: Destina-se a profissionais de segurança.
The lethal trifecta for AI agents Simon Willison · 16 de junho de 2025 · Análise de um profissional Identifica a combinação de acesso a dados privados, exposição a conteúdo não fiável e capacidade de comunicação externa como condição para o roubo de dados através de agentes de IA e refere que nenhuma técnica conhecida o previne de forma fiável. Limites: Um quadro de um profissional, sem revisão por pares.
Least privilege (glossary entry) NIST Computer Security Resource Center · Definição do NIST SP 800-53 Rev. 5 · Definição de norma Define privilégio mínimo como dar a cada entidade os recursos do sistema e as autorizações mínimos necessários à sua função. Limites: Um glossário que compila definições de publicações do NIST.
Model AI Governance Framework for Agentic AI Infocomm Media Development Authority, Singapore · Versão 1.5, 20 de maio de 2026 (primeira publicação em 22 de janeiro de 2026) · Quadro voluntário Responsabiliza as organizações e as pessoas que supervisionam agentes pelo que estes fazem. Pede aprovação humana em pontos de revisão importantes, como eliminar dados, enviar mensagens e fazer pagamentos. Sempre que possível, o sistema deve impor essa aprovação. Revisões muito rápidas ou muito poucas intervenções podem indicar que os revisores aprovam por hábito. Limites: Orientações voluntárias, não lei. Os estudos de caso foram fornecidos pelas próprias empresas.

Citar esta página

Founderz (2026). Princípio 4: Permissões limitadas para agentes de IA. Norma RUAI, edição de 2026. Desenvolvida pela Founderz em colaboração com a Microsoft. https://responsibleai.founderz.com/pt/toolkit/principles/agent-permissions

Licenciado sob CC BY 4.0: partilhe e adapte com atribuição.