Dar acesso ao e-mail, calendário ou navegador a um agente de IA não é apenas permitir que ele “veja” informações. Dependendo da integração, a autorização também pode permitir criar, alterar, enviar, excluir ou compartilhar dados. O ponto de partida mais seguro é simples: conceda somente o acesso necessário para a tarefa e mantenha ações de alto impacto sob aprovação humana. Esse é o princípio de menor privilégio aplicado a agentes.
Essa preocupação já deixou de ser apenas teórica. Aplicativos conectados a assistentes de IA podem consultar fontes externas e, dependendo das capacidades oferecidas, realizar ações em nome do usuário. Também existem fluxos atuais de navegação remota para tarefas web, embora os limites variem bastante entre produtos e possam mudar rapidamente.
Um estudo da Universidade de Washington publicado em julho de 2026 ajuda a mostrar por que o botão “Conectar” merece mais atenção. Alexandra E. Michael e Franziska Roesner revisaram 21 propostas de sistemas de permissões para agentes e fizeram testes guiados em cinco agentes comerciais. Os testes comerciais ocorreram entre a segunda metade de maio e a primeira semana de junho de 2026. As pesquisadoras encontraram uma tensão recorrente: ou o sistema interrompia o usuário com aprovações frequentes, ou recorria a mecanismos automáticos com menos transparência e controle.
Isso significa que a decisão não deve ser “confio ou não confio nesta IA?”. Uma pergunta melhor é: o que exatamente este agente conseguirá fazer caso erre, interprete mal uma instrução ou seja influenciado por conteúdo malicioso?
Comece separando leitura de escrita
Telas de consentimento costumam reunir permissões muito diferentes sob expressões genéricas como “acessar seu calendário” ou “usar sua conta”. O alcance real depende do nível concedido.
A documentação do Google Calendar, por exemplo, diferencia permissões que apenas mostram disponibilidade, permissões de leitura de eventos, permissões para visualizar e editar eventos e um acesso amplo que permite ver, editar, compartilhar e até excluir permanentemente calendários. O Gmail também possui diferentes escopos para visualizar mensagens, administrar rótulos e trabalhar com rascunhos ou envio de e-mails.
Por isso, quando houver escolha, prefira a permissão mais estreita compatível com o objetivo. Se o agente precisa encontrar um horário livre para uma reunião, talvez não precise ler títulos, participantes e descrições de todos os compromissos. Se a função é preparar respostas, criar um rascunho é menos arriscado do que obter autorização permanente para enviá-lo.
Essa lógica corresponde ao menor privilégio: segundo o NIST, usuários ou processos que atuam em nome deles devem receber apenas as autorizações mínimas necessárias para executar a tarefa atribuída.
Leitura também pode ser sensível
“Somente leitura” reduz a possibilidade de o agente modificar a conta, mas não transforma o acesso em inofensivo. E-mails e calendários podem revelar conversas privadas, contatos, viagens, documentos, horários, informações profissionais e outros dados que você não entregaria indiscriminadamente a um serviço externo.
Há ainda um efeito importante quando várias permissões são combinadas. Um agente que consegue ler conteúdo privado e também enviar mensagens, fazer upload de arquivos ou navegar por serviços externos passa a ter um caminho potencial para transferir informações para fora do ambiente original caso algo dê errado.
A OWASP destaca que ataques de prompt injection podem vir de conteúdo externo, como páginas e arquivos, e fazer um modelo tentar usar funções às quais possui acesso. Entre as medidas recomendadas estão limitar privilégios ao mínimo necessário e exigir aprovação humana para operações de maior risco.
Uma matriz simples para decidir quanto automatizar
A tabela abaixo não substitui a análise das permissões reais mostradas pelo serviço. Ela serve para transformar nomes técnicos em quatro perguntas práticas: o agente apenas lê ou escreve? É possível desfazer a ação? A conta ou dado é sensível? A ação pode acontecer silenciosamente ou deve parar para sua aprovação?
| Permissão ou ação | Leitura ou escrita | Reversibilidade | Sensibilidade típica | Padrão recomendado |
|---|---|---|---|---|
| Consultar disponibilidade do calendário | Leitura limitada | Não altera dados | Baixa a média | Pode ser automática quando o acesso estiver realmente limitado à disponibilidade |
| Ler e-mails ou detalhes de eventos | Leitura | Não altera a conta, mas expõe conteúdo | Média a alta | Autorizar somente quando necessário e restringir a fonte ou escopo sempre que possível |
| Criar rascunho de e-mail ou evento provisório | Escrita | Normalmente reversível antes do envio | Média | Pode ser automática se não houver efeito externo e houver revisão posterior |
| Enviar e-mail, convite ou resposta a terceiros | Escrita | Parcialmente reversível ou irreversível | Média a alta | Exigir aprovação imediatamente antes do envio |
| Excluir mensagens, eventos ou alterar compartilhamento | Escrita destrutiva | Pode ser difícil ou impossível desfazer | Alta | Não deixar automática; preferir lixeira, versão ou outra etapa reversível |
| Navegar e pesquisar páginas públicas | Leitura | Geralmente reversível | Baixa a média | Pode ser automática dentro de limites claros |
| Preencher e enviar formulários, publicar ou aceitar compromissos | Escrita com efeito externo | Frequentemente difícil de desfazer | Alta | Exigir aprovação no momento do envio ou publicação |
| Comprar, transferir dinheiro ou alterar segurança da conta | Ação privilegiada | Pode produzir perda financeira ou de acesso | Muito alta | Não delegar de ponta a ponta; manter a decisão e a confirmação finais com uma pessoa |
O critério central é o raio de impacto. Uma falha em uma busca pública costuma ter consequências menores que uma falha no envio de uma mensagem para clientes, na exclusão de uma agenda ou em uma transação financeira. A OWASP classifica abuso de ferramentas e abuso de identidade e privilégios entre os principais riscos de aplicações agênticas em seu Top 10 para 2026.
O próprio projeto registrou em 2026 casos e pesquisas em que permissões excessivas, autonomia mal delimitada e ausência de confirmação ampliaram o impacto de comportamentos incorretos. Em suas recomendações, a OWASP trata operações como excluir, enviar, pagar e publicar como ações que merecem confirmação forte e possibilidade de reversão.
Aprovação humana deve ficar na fronteira certa
Pedir confirmação para cada leitura pode tornar o sistema tão incômodo que o usuário passa a aprovar avisos mecanicamente. O estudo de Michael e Roesner chama atenção justamente para esse custo: sistemas comerciais analisados recorreram com frequência a confirmações em tempo real, enquanto alternativas automatizadas podiam reduzir transparência e controle.
Uma aplicação prática é colocar a aprovação no momento em que a consequência muda de natureza. O agente pode consultar a agenda e sugerir três horários sozinho, mas deve parar antes de enviar os convites. Pode ler uma mensagem autorizada e produzir uma resposta, mas deve mostrar o destinatário e o texto antes do envio. Pode preencher os campos de um formulário, mas não submetê-lo automaticamente quando isso cria um compromisso, publicação, cadastro, compra ou outra consequência externa.
Para operações especialmente sensíveis, esse princípio se aproxima da separação de funções usada em segurança da informação: o NIST descreve esse controle como uma forma de evitar que um único ator possua privilégios suficientes para executar sozinho uma operação suscetível a abuso.
Prompt injection muda o risco de um navegador com IA
Um navegador tradicional exibe uma página para você decidir o que fazer. Um agente pode ler o conteúdo e usá-lo como parte de seu próprio processo de decisão. Essa diferença cria um problema específico: uma página, documento ou mensagem pode conter instruções projetadas para influenciar o modelo.
A OWASP chama esse cenário de prompt injection indireto. Conteúdo vindo de páginas ou arquivos pode alterar o comportamento esperado do modelo e, quando o sistema possui ferramentas conectadas, tentar induzir acesso a funções ou execução de comandos não pretendidos. A organização recomenda controles de privilégio, menor acesso possível, separação de conteúdo não confiável e aprovação humana para ações de alto risco.
Isso ajuda a entender por que permissões são uma camada de contenção, e não somente uma configuração de privacidade. Se uma página maliciosa conseguir influenciar o agente, uma conta configurada apenas para leitura limita o que ele pode modificar. Se enviar, excluir, compartilhar, instalar ou transferir dinheiro depender de confirmação humana, o ataque encontra outra barreira antes de produzir efeito.
Nenhuma dessas medidas torna prompt injection impossível. Elas reduzem o estrago que uma instrução indevida pode causar.
Revogação precisa existir antes da conexão
Antes de conceder acesso, descubra como removê-lo. Não espere precisar revogar uma integração para procurar essa opção.
O Google permite revisar aplicativos que têm acesso à Conta Google e remover esse acesso posteriormente. A Microsoft também oferece revogação de permissões concedidas pelo próprio usuário em contas corporativas ou escolares; nesse último caso, permissões concedidas pelo administrador podem não ser revogáveis pelo usuário individual.
Para um agente, é prudente procurar dois controles diferentes: a desconexão dentro da própria ferramenta de IA e a revogação no provedor da conta conectada. Se o serviço não deixa claro quais dados ainda mantém depois da revogação, consulte sua política de privacidade e retenção antes de conectar informações sensíveis.
A possibilidade de alterar ou retirar permissões também apareceu como um dos pontos relevantes no estudo de julho de 2026. As pesquisadoras observaram que mecanismos de controle contínuo existem em produtos comerciais, mas sua implementação e transparência variam.
Isolamento reduz o alcance de um erro
Ao experimentar um agente novo, evite começar pela conta com maior quantidade de dados e privilégios. Quando a tarefa permitir, use um perfil de navegador separado, uma conta sem privilégios administrativos, uma pasta específica, um calendário dedicado ou um ambiente de teste.
A ideia não é criar uma falsa sensação de segurança. É impedir que uma tarefa limitada herde, por conveniência, todas as sessões, arquivos e autorizações que você já possui. Em sua análise de incidentes e pesquisas de 2026, a OWASP cita redução de escopos e isolamento de contextos de execução entre medidas para limitar abuso de privilégios por agentes.
Para uso profissional, esse cuidado deve se estender às regras da organização. Uma conta corporativa pode ter dados de clientes, documentos confidenciais ou permissões concedidas por administradores que o próprio usuário não consegue retirar.
Sem registro de atividade, automatize menos
Antes de permitir que um agente faça algo sozinho, verifique se você conseguirá descobrir depois o que ele fez.
Um registro útil deve permitir reconstruir, pelo menos, a operação realizada, o momento, o recurso acessado e, quando disponível, a autorização usada. O NIST define um audit log como um registro cronológico das atividades de um sistema, incluindo acessos e operações realizadas ao longo do tempo.
Para o usuário comum, isso se traduz em procurar histórico de atividade, tarefas executadas, ações de ferramentas ou outro registro equivalente. Se um produto pode enviar, apagar, publicar ou modificar dados, mas não oferece uma maneira razoável de conferir suas ações, há um bom motivo para manter essas operações manuais.
Logs não impedem uma ação errada. Eles ajudam a percebê-la, investigá-la e decidir se a permissão deve continuar existindo.
Antes de clicar em “Conectar”
-
Entendi exatamente quais dados o agente poderá ler.
-
Verifiquei separadamente quais dados ele poderá criar, editar, enviar, compartilhar ou excluir.
-
Escolhi a permissão mais estreita disponível, em vez de acesso amplo por conveniência.
-
Confirmei se uma permissão somente de disponibilidade, leitura ou rascunho resolve a tarefa.
-
Mantive envio, exclusão, publicação e submissão de formulários sob aprovação humana quando houver efeito externo relevante.
-
Não deixei compras, transferências financeiras ou alterações de senha, recuperação, autenticação e privilégios administrativos totalmente automáticas.
-
Sei onde revogar o acesso tanto na ferramenta de IA quanto no serviço conectado.
-
Verifiquei se a ferramenta oferece histórico ou registros das ações executadas.
-
Considerei usar uma conta, perfil, pasta ou ambiente separado para o primeiro teste.
-
Lembrei que páginas, e-mails e documentos lidos pelo agente podem ser conteúdo não confiável e conter prompt injection.
-
Revisei a política de privacidade e retenção quando a conexão envolve dados pessoais, profissionais ou confidenciais.
-
Estou concedendo acesso porque a tarefa realmente precisa dele, e não apenas porque o botão “Conectar” está disponível.
Se alguma dessas respostas ainda estiver incerta, a escolha mais segura não é aceitar todas as permissões para “ver se funciona”. Reduza o escopo, mantenha a ação manual ou adie a conexão até entender exatamente o que o agente poderá fazer.
