Identidade de agentes de IA: a Okta faz 3 perguntas em 2 de setembro de 2026 — o produto da AppH já responde, sem plataforma dedicada
Em 2 de setembro de 2026, a Security Boulevard publicou um texto da Okta/GuidePoint Security: agentes de IA são uma nova classe de identidade que atravessa a empresa sem os controles já existentes para pessoas — daí três perguntas que poucas organizações sabem responder: onde estão meus agentes, a que podem se conectar, o que podem fazer. Em grandes empresas, a resposta passa por uma plataforma de identidade dedicada (Okta, neste caso). Na AppH, as mesmas três respostas já existem — não como opção paga, mas dentro do próprio produto.
Segundo Ariel Zommer (Okta, Security Boulevard, 2 de setembro de 2026), os agentes de IA se espalham pela empresa mais rápido que qualquer onda tecnológica anterior, muitas vezes sem a responsabilização já exigida de pessoas e aplicações. O texto cita um incidente real: uma conexão OAuth comprometida entre uma conta corporativa e uma ferramenta de IA de terceiros abriu um caminho para sistemas internos (chaves de API, tokens, variáveis de ambiente) — não foi uma falha de software, foi um problema de identidade. Também cita um dado duro (Stanford SACR, março de 2026): 53% dos servidores MCP públicos usam segredos estáticos, e apenas 8,5% implementam OAuth. O texto propõe três perguntas como base: onde estão meus agentes? a que podem se conectar? o que podem fazer? — e para a terceira, recomenda explicitamente controles humano-no-loop para ações de alto impacto (alterar um ambiente de produção, acessar dados regulados, iniciar uma ação financeira).
A solução que o texto propõe — uma plataforma de identidade dedicada a agentes, com inventário, permissões curtas e revogáveis, fluxos de aprovação, registros centralizados — é a resposta certa para uma grande empresa rodando dezenas de agentes de fornecedores diferentes. Mas construir ou comprar essa plataforma está fora do alcance de uma pequena empresa, que não tem equipe de segurança nem orçamento para um projeto Okta dedicado. A AppH responde às mesmas três perguntas de outro jeito: não com uma camada de identidade separada para administrar, mas porque o produto já vem com as respostas embutidas. Onde estão meus agentes? — cada ação automatizada da AppH (um e-mail classificado, um rascunho de lembrete, uma mudança de status) fica registrada no mesmo histórico de auditoria das ações humanas, com um autor identificado, consultável módulo a módulo (painel de histórico já ativo em mais de dez verticais). A que podem se conectar? — cada módulo tem um escopo de dados limitado ao seu próprio domínio (um agente que cuida do faturamento nunca toca prontuários clínicos), e as conexões externas (webhooks, chaves de API) têm segredos próprios e rotativos, com alerta automático se uma chave ficar ativa sem uso. O que podem fazer? — é o clique de aprovação humana em qualquer ação com consequência real, já coberto na nossa peça de hoje sobre o artigo da Forbes: dinheiro se movendo, uma reserva cancelada, uma comunicação que sai para um cliente, um dado sensível que muda de mãos.
A favor da AppH
- As três perguntas que o texto define como base de uma estratégia de identidade agêntica — onde, a que, o que podem fazer — já têm resposta construída na AppH, sem que um cliente pequeno precise avaliar ou comprar uma plataforma de identidade separada.
- A atribuição por autor no histórico de auditoria (já em produção em mais de dez módulos) corresponde exatamente ao que o texto descreve como o padrão a alcançar: registros «atribuíveis, auditáveis e acionáveis».
Contra / o limite honesto
- A AppH não tem um diretório formal de identidades de agente com dono e estado de ciclo de vida declarados por agente — porque todos os agentes da AppH pertencem ao mesmo produto, um caso mais simples do que a proliferação multi-fornecedor que o texto aborda; no dia em que a AppH permitir conectar agentes de terceiros via API, essa lacuna se tornaria real.
- Não existe um «kill switch» para cortar de uma vez o acesso de um agente específico em todos os sistemas conectados — o mais próximo que a AppH tem hoje é o alerta sobre uma chave de API inativa, não uma revogação imediata e centralizada.
O que chama atenção neste texto não é a novidade do risco — identidade mal gerida é um problema de segurança antigo — é a velocidade com que os agentes de IA o fazem reaparecer numa escala que poucas equipes de segurança anteciparam. Para uma grande empresa, a resposta é um projeto: avaliar, implantar, administrar uma plataforma de identidade dedicada. A AppH parte de um princípio diferente, mais modesto mas igualmente defensável: uma pequena empresa não tem tempo nem orçamento para esse projeto, então as respostas precisam estar no produto desde o primeiro dia, não numa caixa para marcar depois. Não afirmamos cobrir tudo o que uma plataforma como a descrita no texto cobre — o diretório de agentes ausente e o kill switch são a prova honesta disso. Mas das três perguntas colocadas, nenhuma fica sem resposta na AppH: ela já existe, e um humano continua sendo o último passo antes de algo caro de desfazer acontecer.
Verificado por um humano da AppH