As centenas de agentes do Claude Code precisam de chaves mais restritas

Um único operador do Claude Code pode mobilizar centenas de subagentes em uma migração de plataforma. Esses agentes se multiplicam mais rápido do que as pessoas conseguem revisar suas ramificações, chamadas de ferramentas e credenciais. Para as equipes de segurança, fica uma pergunta que a janela de conversa não responde: quem entregou as chaves a cada um deles?

O paralelismo transforma uma sessão de programação em uma rede de autoridade

No início, os assistentes de programação cabiam dentro de uma conversa. O desenvolvedor pedia um código, o modelo o produzia e o próprio desenvolvedor continuava sendo o centro evidente do fluxo de trabalho. Mesmo quando o resultado estava errado, a revisão ainda tinha escala humana: uma resposta, uma comparação de alterações, uma decisão.

Os fluxos dinâmicos do Claude Code rompem com esse formato. Um único operador pode delegar tarefas complexas de engenharia a centenas de subagentes executados em paralelo, inclusive migrações de plataforma. O sistema passa a formar uma rede que conecta operador, orquestrador, subagentes, repositórios, ferramentas, ambientes e credenciais.

Cada subagente pode agir, e cada conexão concede uma permissão. Um deles talvez precise ler um repositório. Outro, gravar em uma ramificação. Um terceiro pode acionar uma ferramenta ou inspecionar um ambiente. Se todos herdarem o acesso permanente do operador, a organização terá replicado centenas de vezes uma entidade humana de segurança.

As Automações do Cursor podem iniciar agentes após uma alteração no código, uma mensagem no Slack ou o disparo de um temporizador. A Apple incorporou ao Xcode agentes de programação da Anthropic e da OpenAI, além de compatibilidade com MCP. As pessoas já não precisam permanecer em uma sessão interativa para que os agentes participem do sistema de desenvolvimento.

Os fornecedores não precisaram se coordenar para produzir essa mudança. Como criar cada agente custa pouco, os desenvolvedores têm motivos para distribuir o trabalho entre um número cada vez maior deles. A capacidade dos revisores humanos não cresce no mesmo ritmo; portanto, o sistema de controle não pode depender de uma pessoa examinando antecipadamente cada ação.

Os registros só descrevem a autoridade depois que ela já foi exercida

As equipes de segurança ainda precisam de registros duradouros para atribuir responsabilidades, detectar adulterações, reconstituir incidentes e prestar contas. Se um agente altera uma ramificação, aciona uma ferramenta ou ultrapassa um limite de aprovação, elas precisam ter um relato confiável dessa ação.

Mas um registro serve como prova, não como barreira. Ele pode mostrar que alguém leu um segredo, publicou um pacote ou alterou um artefato de produção. Não pode restringir uma credencial depois que ela já foi usada. Na velocidade das máquinas, observar a autoridade gera uma trilha de auditoria; limitá-la é o que proporciona controle.

O vazamento de credenciais da CISA deixa esse mecanismo evidente. Controles frágeis em torno de repositórios públicos do GitHub permitiram que um prestador de serviços humano — não um agente autônomo — expusesse chaves privadas de acesso à nuvem e outras credenciais. O incidente não foi causado por agentes; ele revelou o alcance dos danos quando alguém encontra uma autoridade mais ampla e mais fácil de transportar do que a tarefa exige.

Como delegar custa pouco, os agentes ampliam esse antigo problema. As equipes de segurança precisam parar de entregar a cada um deles o segredo reutilizável do operador humano.

A integração do 1Password com o Claude mostra uma alternativa. O agente pode entrar em um site sem visualizar a senha nem o código de autenticação em dois fatores. Ele recebe autorização para executar uma ação sem ter acesso ao segredo que a viabiliza. Em vez de copiar uma identidade permanente, um intermediário pode fornecer credenciais como autorizações limitadas à tarefa.

A OpenAI incorporou ambientes isolados e uma estrutura de avaliação ao seu Agents SDK. Intermediação de credenciais, isolamento, barreiras de política, proteções do controle de versão e telemetria limitam modalidades diferentes de falha. Esses recursos não demonstram que sua adoção ou qualidade operacional seja adequada, mas mostram que os responsáveis pelo desenvolvimento localizaram o problema abaixo da interface de conversa.

Sob o princípio de controle na camada de implantação, cada agente recebe uma identidade de máquina própria, permissões mínimas, duração limitada e exigências explícitas de aprovação para transições de alto impacto. As equipes executam agentes em ambientes isolados, com pontos de restauração recuperáveis. Os registros continuam servindo como prova depois que os controles preventivos delimitam o trabalho.

A infraestrutura de desenvolvimento acompanha o aumento da simultaneidade

Quem constrói as ferramentas costuma perceber uma mudança na carga de trabalho antes que as empresas consigam defini-la. Cada vez mais, a infraestrutura de desenvolvimento é projetada para muitos agentes de máquina atuando simultaneamente, e não para um grupo menor de pessoas trabalhando com mais rapidez.

A Entire lançou uma rede Git descentralizada, com servidores nos Estados Unidos, na União Europeia e na Austrália, especificamente para comportar o tráfego elevado de agentes de programação. Seu fundador também descreveu como recursos planejados um histórico de ramificações capaz de evidenciar adulterações e uma proteção de ramificações baseada em políticas como código verificáveis de forma independente, tratando capacidade e governança como um único problema de projeto.

O GitHub oferece a confirmação do fornecedor dominante. Segundo relatos, o crescimento impulsionado pela IA sobrecarregou sua infraestrutura e contribuiu para dezenas de grandes interrupções em 2026, enquanto a Microsoft buscava ampliar a capacidade com a AWS. O GitHub construiu seu controle de versão em torno do ritmo humano de desenvolvimento; a simultaneidade gerada por máquinas está colocando essas premissas à prova.

Os repositórios, e não os modelos, precisam impor políticas de ramificação, gravações com escopo limitado, barreiras de aprovação, limites de compilação e reversão. Esses controles devem acompanhar toda a rede de desenvolvimento, porque ela permanece mesmo quando modelos, ferramentas e agentes mudam.

Na comparação entre os períodos de 2024–2026, o enquadramento empresarial na cobertura sobre a Anthropic subiu de 12.3% para 19.0%, enquanto o enfoque em pesquisa caiu de 40.3% para 22.0%. A mudança acompanha a infraestrutura: as instituições tratam cada vez mais a Anthropic como fornecedora integrada aos fluxos de produção, nos quais a distribuição de autoridade importa mais do que o desempenho em testes comparativos.

O alcance dos danos na cadeia de suprimentos cresce mais rápido do que a capacidade de revisão

A cadeia de suprimentos de software torna a autoridade delegada especialmente relevante, porque uma única alteração aceita pode se propagar muito além do sistema que a produziu. Pacotes, ramificações, alterações automatizadas e dependências posteriores transformam uma ação local em exposição distribuída.

O comprometimento do pacote npm Axios introduziu uma dependência maliciosa nas versões afetadas de um pacote com 100 milhões de downloads semanais. Separadamente, noticiou-se que a TeamPCP realizou 20 ondas de ataques à cadeia de suprimentos, comprometendo mais de 500 componentes de software. Nenhum dos casos demonstra que agentes de programação tenham causado os ataques. Ambos expõem o mecanismo de propagação que uma ação automatizada incorreta, maliciosa ou excessivamente privilegiada herdaria.

Os agentes de programação também mudam a economia dos ataques ao automatizar partes da descoberta de vulnerabilidades. A mesma queda no custo da execução por máquinas amplia tanto a produção útil de código quanto a capacidade de procurar formas de exploração.

Os revisores não podem continuar sendo a principal barreira. Os agentes conseguem ampliar a produção em paralelo; a atenção humana permanece limitada. Uma fila maior de alterações apenas registra esse descompasso, sem resolvê-lo.

Por isso, as equipes precisam preparar as gravações dos agentes em etapas, confiná-las a ramificações, criar pontos de restauração e revertê-las antes que se tornem um estado permanente nos sistemas posteriores. A recuperação tem limites: pode desfazer alterações no código, mas não apagar o conhecimento de um segredo exposto. O escopo das credenciais deve vir primeiro; depois que as barreiras preventivas atuarem, a telemetria preserva o registro.

As políticas precisam sobreviver à troca de modelo

As recusas no próprio modelo continuam sendo controles controversos. A crítica de Satya Nadella ao Claude Fable 5 por ser “controlado editorialmente”, inclusive por se recusar a fazer “qualquer coisa aleatória”, explicita essa disputa. As empresas divergem sobre o que os modelos deveriam recusar antes mesmo de decidir o que os agentes conectados deveriam ter autorização para executar.

As empresas também estão criando ambientes com vários modelos. Segundo relatos, o Parlamento da UE prepara uma central que colocaria sob controle institucional o acesso a modelos da Meta, OpenAI, Anthropic e Mistral. A Microsoft estaria planejando uma ferramenta de segurança com IA que usaria modelos da Anthropic, da OpenAI e da própria Microsoft. A política de recusa de um único fornecedor não consegue reger uma estratégia de contratação criada para abranger vários deles.

Uma empresa pode combinar um modelo restritivo com credenciais amplas e, ainda assim, construir um sistema perigoso. Com identidades restritas, ambientes isolados, barreiras de política e transições de estado recuperáveis, ela pode limitar até um modelo mais permissivo. O comportamento do modelo continua sendo uma camada de defesa, mas não pode autorizar o restante da infraestrutura.

Como as empresas podem substituir os modelos, elas precisam vincular as políticas a agentes, credenciais e transições de estado, não a um único fornecedor. O plano de controle deve identificar cada subagente, conceder autoridade limitada à tarefa e revogar o acesso, independentemente do modelo que execute o trabalho.

Um único operador do Claude Code ainda pode criar centenas de subagentes. A confiança não vem de observar todos eles, mas de dar a cada um uma chave mais restrita, por menos tempo, e depois retomá-la.