Em maio de 2026, a Palo Alto Networks publicou o relatório 2026 Identity Security Landscape, feito com 2.930 líderes de segurança no mundo todo. O número que abre o documento é desconfortável: as organizações administram, em média, 109 identidades de máquina para cada identidade humana. Não são 109 funcionários a mais — são 109 contas, chaves e credenciais que não pertencem a ninguém e que, na maioria das empresas, ninguém consegue listar.
O mesmo relatório mostra para onde isso está indo. As empresas ouvidas esperam um crescimento de 85% no número de agentes de IA nos próximos doze meses, com alta de 77% nas identidades de máquina contra 56% nas humanas. A distância entre "quem a empresa contratou" e "o que tem acesso aos sistemas da empresa" vai aumentar, não diminuir.
Outro dado do mesmo estudo explica por que isso importa: 96% dos respondentes dizem que as identidades humanas já operam com acesso muito além do que o papel delas exige. Se o crachá da pessoa já abre portas demais, o agente que trabalha em nome dela herda exatamente esse excesso.
A leitura prática é curta. A discussão sobre IA na empresa deixou de ser "qual ferramenta vamos usar" e virou "quem, exatamente, está pedindo isso — e o que essa identidade tem direito de ver". Identidade virou o perímetro.
O crachá que ninguém emitiu
Toda empresa tem um processo para a pessoa: ela é admitida, recebe um login, entra nos grupos certos e, no dia em que sai, o RH avisa o TI e o acesso é cortado. Ciclo conhecido e auditável.
Agora repare no que acontece quando a IA entra. Alguém cria uma conta em uma ferramenta de IA para "testar". Conecta essa ferramenta ao sistema de chamados com uma chave gerada às pressas. Configura um agente que roda sozinho todo dia às sete da manhã. Nada disso passou pelo diretório da empresa — nenhuma dessas identidades tem admissão, grupo, gestor responsável ou data de desligamento.
A OWASP, a mesma organização por trás da lista de riscos de segurança em aplicações web mais usada do mercado, publicou em 2025 o OWASP Non-Human Identities Top 10. Vale olhar a ordem, porque não começa com ataque sofisticado:
- Risco nº 1 — desligamento malfeito: a identidade que não é de pessoa continua ativa depois que deixou de ser necessária.
- Risco nº 5 — privilégio em excesso: permissões abertas na pressa da entrega, que seguem para produção e ampliam o estrago quando algo é comprometido.
- Risco nº 7 — segredos de vida longa: chaves e credenciais com validade distante demais, ou sem validade nenhuma.
Traduzindo para a linguagem da diretoria: o risco número um da IA corporativa hoje não é a IA responder besteira. É a IA continuar respondendo — e continuar acessando — depois que a pessoa, o projeto ou o contrato acabaram.
O acesso ainda é a porta
O 2026 Data Breach Investigations Report da Verizon, publicado em maio de 2026, registrou uma virada: 31% das violações passaram a começar pela exploração de vulnerabilidades de software, que assumiu o primeiro lugar entre as portas de entrada. O abuso de credenciais como ponto de entrada caiu para 13%, segundo a análise do relatório publicada pela SecurityWeek.
É tentador ler isso como "credencial deixou de ser problema". Não é o que o dado diz. O invasor mudou a forma de entrar; depois de entrar, continua precisando de uma identidade com permissão para chegar ao que interessa. É aí que os dois números se encontram: se 96% das empresas admitem acesso além do necessário, qualquer entrada vira acesso amplo. A vulnerabilidade abre a porta; a permissão exagerada entrega a casa.
A Gartner colocou isso entre as principais tendências de cibersegurança para 2026. No relatório Top Cybersecurity Trends for 2026, de fevereiro, "gestão de identidade e acesso se adapta aos agentes de IA" aparece como uma das seis tendências do ano, com destaque para registro e governança de identidade, automação de credenciais e autorização por política para atores que não são pessoas.
A conta pessoal de IA é uma identidade que a empresa não emitiu
Há um detalhe no mesmo material da Gartner que costuma mudar o tom da reunião. Em pesquisa realizada entre maio e novembro de 2025, mais de 57% dos funcionários dizem usar contas pessoais de IA generativa para o trabalho, e 33% admitem inserir informação sensível em ferramentas não aprovadas.
Uma conta pessoal de IA é, tecnicamente, uma identidade — só não é uma identidade da empresa. Não está no diretório, não tem papel, não aparece em auditoria, não é desligada quando a pessoa sai, e leva junto o histórico de tudo o que foi colado nela. Quando a empresa pergunta "onde está o risco da IA", a resposta quase nunca é o modelo. É a conta.
Política escrita não resolve. Resolve quando a IA aprovada é mais conveniente do que a alternativa pessoal — e quando entra pelo mesmo crachá de todo o resto.
O que precisa existir na prática
Nada disso se resolve no modelo de IA — resolve-se na camada de identidade. São cinco exigências concretas.
Identidade corporativa, não uma segunda base. A empresa já tem uma fonte de verdade sobre quem é quem, e não faz sentido criar outra. O ambiente de IA precisa se federar ao diretório existente — Active Directory ou LDAP local, não só provedores em nuvem — e não deixar o usuário federado ser editado por dentro. A consequência operacional é a que interessa: desligou no diretório, o acesso à IA acompanha a regra da empresa.
Acesso por papel, função por função. Quando uma integração expõe cinquenta funções e o suporte precisa de duas, o correto é liberar exatamente essas duas. O padrão de mercado é tudo ou nada — e "tudo" é o risco nº 5 da OWASP entrando em produção.
Credencial com nome. Um login único cadastrado pelo TI e usado por todo mundo apaga a autoria. Cada pessoa guardando a própria credencial de forma criptografada mantém a ação atribuível: não vira "o sistema fez".
Aprovação conforme o risco. Operações sensíveis param e pedem confirmação explícita de uma pessoa, dentro do próprio fluxo. Autonomia sem freio é o que trava projeto de IA na diretoria; freio configurável é o que destrava.
Trilha consultável. Registro organizado por área — conectores, aprovações, documentos, permissões — para que a investigação não vire garimpo. É a diferença entre "achamos que ninguém acessou" e "sabemos quem acessou, quando e com qual autorização".
É assim que a Skyller foi desenhada: federação com o diretório da empresa, permissão resolvida por papel antes da ação e trilha separada por área.
O agente não tem crachá próprio. Ele usa o de quem pediu.
Esse é o ponto que separa um ambiente governado de um agente solto. Um agente não deveria receber "acesso de administrador" para dar conta do recado: ele opera dentro das permissões da identidade que o acionou. Se aquela pessoa não pode ver a pasta do jurídico, o agente que ela usa também não pode — e não há caminho lateral, porque a permissão é resolvida antes da ação, não depois.
Isso vale para o que a equipe constrói. Agentes, espaços e fluxos podem ser reutilizados por outras áreas, mas o alcance é definido por pessoas, grupos, papéis e permissões. Um agente de compras publicado para a equipe de compras é capacidade da empresa; não vira porta dos fundos para o financeiro.
A conta pessoal genérica de IA não oferece nada disso: não sabe quem é a pessoa dentro da empresa, não conhece os grupos, não perde a validade no desligamento e não devolve trilha para ninguém.
Seis perguntas para levar ao seu fornecedor de IA
Elas separam quem tratou identidade como fundamento de quem tratou como caixa marcada no formulário de conformidade.
- A plataforma se conecta ao nosso diretório local, ou só a provedores de identidade em nuvem? Muita empresa brasileira de porte médio tem Active Directory local e não licencia identidade em nuvem.
- Quando desligamos alguém no diretório, em quanto tempo essa pessoa perde o acesso à IA — e como provamos isso?
- O agente herda as permissões de quem o acionou, ou roda com uma credencial de serviço com acesso amplo? Peça para ver, não para ouvir.
- Consigo liberar apenas parte das funções de uma integração para um grupo específico, ou é tudo ou nada?
- Quais ações param e exigem aprovação humana, e quem define essa lista? Se a resposta for "a IA sempre pede confirmação", a lista não existe.
- Que trilha fica registrada quando um agente acessa um documento ou executa uma ação — e quem consegue consultá-la sem abrir chamado?
