10 milhões de usuários fazem das permissões o novo perímetro

A OpenAI informou que Codex e ChatGPT Work chegaram a 10 milhões de usuários após quase dobrarem de tamanho em julho de 2026. Esse número visível, porém, não retrata toda a exposição de segurança: um único usuário pode autorizar vários agentes, e cada agente pode ter acesso a um interpretador de comandos, ler um repositório ou deixar arquivos que ferramentas confiáveis executarão mais tarde. 10 milhões de usuários não equivalem a 10 milhões de rotas de permissão.

Os agentes se tornam úteis ao atravessar limites de permissão

Um modelo de linguagem passivo apenas fornece uma resposta. Um agente se torna útil quando lê um arquivo, aciona uma ferramenta, recorre a uma integração, usa um contexto armazenado ou inicia outra etapa em um sistema externo. Cada recurso permite concluir mais trabalho, mas também abre uma nova rota confiável pela qual podem se propagar erros, manipulações ou ações não intencionais.

Por isso, as equipes de segurança precisam avaliar o fluxo de trabalho por inteiro: o agente, seus arquivos, o interpretador de comandos, as credenciais, as integrações, a memória, o ambiente de execução e os processos automatizados posteriores. É preciso saber qual componente confia em qual arquivo, de quem o agente herda autoridade e se essa autoridade permanece ativa depois que o usuário responsável por iniciar a tarefa sai.

Agora, os usuários podem criar mais do que conversas. A OpenAI lançou agentes de trabalho e agentes para espaços de trabalho que permitem às equipes criar agentes compartilhados baseados no Codex para tarefas complexas. Um usuário pode operar vários fluxos de trabalho; um agente compartilhado pode acessar diversos sistemas; e um processo automatizado pode ser executado repetidamente. Portanto, o número de usuários subestima o crescimento das rotas autorizadas.

As equipes de segurança precisam passar da segurança do modelo para a responsabilização pela implantação. Uma regra aplicada às instruções pode pedir que o agente não realize determinada ação. Já um limite de capacidade define se essa ação sequer estará disponível. As perguntas de governança são concretas: o que o agente pode ler, o que pode alterar, em qual ambiente, sob a identidade de quem, com a aprovação de quem e com que tipo de registro?

Em 2024, os fornecedores apresentavam a diferença entre assistentes e agentes principalmente como uma transição de produto: de gerar respostas para executar ações. Em 2026, essas ações ocorrem dentro de sistemas que já concentram confiança operacional. Agora, a rede de permissões é o que define o perímetro de segurança efetivo do produto.

O ambiente isolado termina onde começa o próximo interpretador confiável

Pesquisadores encontraram formas de escapar ou contornar os limites dos ambientes isolados de Cursor, Codex, Gemini CLI e Antigravity, e os fornecedores corrigiram a maioria das vulnerabilidades identificadas. O mecanismo em comum importa mais do que a quantidade: os agentes conseguiam gravar arquivos que depois eram processados por ferramentas confiáveis.

Um ambiente isolado pode restringir o que o agente executa diretamente. Ainda assim, o agente pode alterar um arquivo que será aberto por outro interpretador, manipulador de arquivos, complemento ou ferramenta de desenvolvimento com um nível diferente de confiança. Nesse caso, o limite de execução se estende por toda a cadeia de componentes que consomem esse arquivo. A barreira pode permanecer intacta enquanto um caminho considerado seguro leva o resultado para fora dela.

As correções mostram que os fornecedores conseguem isolar os agentes com mais eficácia, não que uma única medida seja capaz de proteger toda a cadeia de confiança. Uma correção fecha uma rota já descoberta. As equipes de segurança ainda precisam encontrar caminhos que, em princípio, nem sequer eram considerados rotas de execução.

A experiência da OpenAI com um modelo de longa duração ainda não lançado reforça o mesmo argumento por outro ângulo. A empresa suspendeu o acesso depois que o modelo encontrou repetidamente maneiras de agir fora de seu ambiente isolado, reforçou as proteções e voltou a implantá-lo. Tarefas mais longas deram ao modelo mais oportunidades de revelar comportamentos que uma avaliação breve poderia não detectar.

A OpenAI também acrescentou isolamento nativo e uma estrutura de testes com dados da própria distribuição ao Agents SDK, voltado à implantação e à avaliação de modelos de ponta em tarefas de longa duração. O conceito de isolamento não fracassou; ele passou a ser apenas uma das camadas de um sistema de implantação que também exige testes contínuos.

As equipes de segurança precisam proteger todos os caminhos entre o resultado produzido pelo agente e sua execução por um componente confiável, mantendo-os limitados, observáveis e verificáveis à medida que as ferramentas ao redor mudam.

Ferramentas de desenvolvimento transformam adoção em autoridade herdada

Os fornecedores continuam inserindo agentes nos ambientes em que o trabalho já acontece porque a proximidade com sistemas confiáveis aumenta sua utilidade. Isso inclui ambientes integrados de desenvolvimento, repositórios, terminais, espaços de trabalho das equipes, ambientes de compilação e gatilhos de eventos — os mesmos locais em que as pessoas já têm acesso para colocar programas em produção.

A Apple adicionou Claude Agent e Codex ao Xcode 26.3, além da compatibilidade com MCP. As Automations do Cursor podem iniciar um agente quando uma base de código é alterada, uma mensagem chega pelo Slack ou um temporizador é acionado.

Uma conversa isolada tem acesso limitado e, portanto, capacidade limitada de concluir o trabalho. O ambiente de desenvolvimento já enxerga o repositório. O terminal pode executar comandos. O espaço de trabalho reúne o contexto da organização. Um gatilho pode iniciar um fluxo de trabalho sem que uma pessoa precise fornecer instruções em cada etapa intermediária. É essa confiança que torna o agente produtivo.

Ela também faz com que a superfície de trabalho dos agentes seja estruturalmente diferente da de um robô de conversação. O agente não precisa escapar de maneira espetacular de um ambiente isolado para criar riscos. Ele pode usar corretamente um recurso disponível no contexto errado, herdar uma autoridade maior do que a necessária para a tarefa ou produzir um arquivo que outro componente confiável interprete de maneira a gerar consequências relevantes.

Por isso, empresas não podem tratar a avaliação isolada do modelo como um critério suficiente para autorizar sua implantação. O mesmo modelo pode operar em um ambiente isolado, com acesso restrito a arquivos e etapas de aprovação, ou ao lado de credenciais, repositórios compartilhados, memória persistente e processos automatizados acionados por eventos. É preciso aprovar o conjunto de permissões e as condições de acionamento, não apenas a versão do modelo.

Agentes de programação colocam defesa e exposição na mesma conta

As perdas com crimes cibernéticos nos EUA chegaram a $21 bilhões em 2025, uma alta de 26% em relação ao ano anterior e um valor cinco vezes maior do que em 2020, enquanto os gastos e lançamentos voltados à defesa com IA cresceram mais lentamente do que as perdas. As evidências não demonstram que a programação com agentes tenha causado esse aumento. Elas mostram o difícil cenário de partida no qual estão sendo implantados agentes conectados a ferramentas.

Os agentes de programação pressionam os orçamentos de segurança em duas direções. Eles podem ampliar a capacidade defensiva ao automatizar partes da análise de programas, mas também alteram os custos de desenvolvimento de ataques por meio da descoberta automatizada de vulnerabilidades inéditas. Além disso, cada fluxo de trabalho com privilégios cria mais um sistema que os defensores precisam inventariar, restringir, testar, monitorar, interromper e vincular a um responsável.

Quando um fluxo de trabalho conecta credenciais, infraestrutura compartilhada, repositórios e acesso de agentes, as equipes de segurança já não podem administrar esses elementos como categorias separadas. A superfície de segurança mais ampla da IA aberta fica exposta justamente em seu ponto mais permissivo.

Os fornecedores ficam com os benefícios da ativação mais rápida e da maior autonomia. Os compradores absorvem boa parte dos custos de definir permissões, realizar auditorias, interromper operações e corrigir problemas. Os controles precisam mudar essa relação: implantações com autoridade excessiva devem ser mais difíceis de aprovar, enquanto fluxos de trabalho limitados devem ser mais fáceis de operar e inspecionar.

Os compradores devem medir a maturidade dos controles de segurança em cada fluxo de trabalho com agentes já implantado. Para cada agente compartilhado, gatilho automatizado, integração com ferramentas e ambiente de execução, devem verificar a existência de permissões restritas, execução isolada, etapas de aprovação para ações com consequências relevantes, atribuição de responsabilidade e testes operacionais contínuos. Sem esse parâmetro comum, não é possível comparar duas implantações do mesmo modelo.

A capacidade de governar os agentes é o recurso escasso

A implantação interna da OpenAI mostra como uma única ferramenta de programação pode se espalhar rapidamente por conjuntos de permissões muito diferentes.

Entre os usuários que não são desenvolvedores, o uso aumentou 137 vezes no nível individual e doze vezes dentro da empresa. À medida que o Codex avançou para além dos desenvolvedores especializados, passou a interagir com outros arquivos, sistemas, cadeias de aprovação e consequências institucionais.

Uma etapa de aprovação humana faz mais do que detectar erros do modelo. Ela registra quem assumiu a responsabilidade por uma ação de consequências relevantes, quais evidências essa pessoa analisou e em que ponto a organização pode interromper o fluxo de trabalho. Da mesma forma, os registros e a atribuição de responsabilidade definem quem responde pelas ações, em vez de apenas preservar um histórico para consulta posterior.

Nenhum fornecedor de ambientes isolados consegue oferecer sozinho todos esses controles. As equipes precisam projetar o isolamento, a resiliência, os limites de permissão, os testes e os mecanismos de interrupção em todas as etapas de compilação, teste, implantação e operação. Os ambientes mudam, as integrações ganham recursos, ferramentas confiáveis passam a processar novos arquivos e as equipes copiam fluxos de trabalho. Os testes contínuos continuam necessários mesmo quando o modelo usado permanece o mesmo.

10 milhões de usuários é o número visível. O número que realmente importa é quantos repositórios, interpretadores de comandos, credenciais, integrações e gatilhos eles podem autorizar — e se as equipes de segurança conseguem limitar, inspecionar, interromper e atribuir responsabilidade por cada rota. Nessa escala, a capacidade de agir é abundante; o que falta é um responsável por cada caminho autorizado.