Conectar um agente de IA a arquivos, e-mail, calendário, código ou sistemas internos amplia o que ele consegue fazer, mas também amplia o impacto de um erro. A revisão de permissões deve acontecer antes da autenticação, quando ainda é possível reduzir o escopo sem interromper um fluxo já adotado.
Este guia apresenta um processo prático para decidir o que conectar, com qual identidade, por quanto tempo e sob quais confirmações. Ele vale para Plugins, Apps, Skills, conectores e ferramentas de agentes, mesmo quando cada produto usa nomes diferentes.
Imagem editorial exclusiva do Bastidores da IA. Não é captura de tela, interface real nem evidência de uma conexão executada.
Comece pelo resultado, não pela lista de ferramentas
Escreva em uma frase o trabalho que o agente deve concluir. “Resumir documentos de uma pasta aprovada” é mais verificável do que “ajudar com o Drive”. “Preparar um rascunho de resposta sem enviar” é mais seguro do que “cuidar do e-mail”. O resultado define quais dados são necessários e quais ações devem permanecer fora do alcance.
Depois separe leitura, criação, alteração, exclusão, envio e publicação. Essas capacidades não têm o mesmo risco. Um agente que precisa localizar três documentos não precisa necessariamente editar a pasta. Um agente que prepara uma mensagem não precisa enviá-la. Quando o produto oferece ações agrupadas, confirme se é possível desabilitar as que excedem o objetivo.
Mapeie cinco camadas de permissão
A primeira camada é a identidade usada na conexão. Prefira a identidade da pessoa que realiza o trabalho ou uma conta técnica dedicada, nunca uma conta administrativa ampla por conveniência. A permissão efetiva combina o que o aplicativo autoriza com o que essa identidade já pode fazer no sistema de origem.
A segunda camada é o conjunto de dados. Registre pastas, sites, caixas postais, repositórios, canais e bancos que poderão ser consultados. “Todos os arquivos” é um escopo, mas raramente é o menor escopo possível. Use uma pasta de teste ou um projeto limitado para o primeiro piloto.
A terceira camada são as ações: pesquisar, ler, baixar, criar, atualizar, excluir, enviar, publicar ou executar. A quarta é a persistência, incluindo sincronização, índice, memória, cache e artefatos locais. A quinta é a confirmação: quais ações sensíveis exigem que uma pessoa veja o alvo e aprove imediatamente antes da execução.
Plugin, App e Skill não são a mesma coisa
Na documentação atual da OpenAI, um Plugin pode reunir Skills, Apps e modelos de Apps. A Skill fornece instruções e padrões de trabalho. A App conecta o ChatGPT ou o Codex a dados e ações externas. O Plugin empacota essas capacidades para um fluxo. Instalar o pacote, habilitar a integração e autenticar uma conta são decisões relacionadas, porém diferentes.
Por isso, a revisão não termina quando o nome do Plugin parece confiável. Abra os componentes incluídos, verifique se uma App é obrigatória ou opcional e examine suas ações. Uma Skill textual ainda pode orientar o agente a usar ferramentas poderosas disponíveis no ambiente. Uma App pode herdar permissões já concedidas no sistema conectado.
Use o princípio do menor privilégio
Menor privilégio significa conceder somente o acesso necessário para a tarefa atual. Se o agente consulta um catálogo, use leitura sobre as tabelas necessárias, sem atualização ou exclusão. Se ele revisa um repositório, limite o acesso ao projeto e mantenha merge, comentário e mudança de configuração sob decisão humana.
A OWASP descreve agência excessiva como a combinação de funcionalidade, permissões ou autonomia maiores que o necessário. Uma instrução mal interpretada, uma alucinação ou um conteúdo externo manipulado pode acionar uma ferramenta válida de forma indesejada. O controle efetivo precisa existir na credencial, na ferramenta e na política de execução, não apenas no prompt.
Trate conteúdo externo como dado não confiável
Documentos, páginas, mensagens, issues e resultados de busca podem conter instruções destinadas a desviar o agente. Esse risco é chamado de injeção indireta de prompt. O fato de o conteúdo estar em uma fonte autorizada não significa que suas instruções devam ganhar autoridade.
O agente deve interpretar o conteúdo como material de trabalho, mantendo as instruções do usuário e as políticas do ambiente em nível superior. Se uma página pedir para revelar segredos, ampliar permissões, instalar algo ou enviar dados, o fluxo deve parar e solicitar revisão. Listas de domínios permitidos e ferramentas específicas reduzem o espaço para ações inesperadas.
Revise sincronização, retenção e destino dos dados
Uma integração pode acessar dados em tempo real, sincronizá-los para um índice ou manter artefatos entre execuções. Pergunte quais campos são coletados, onde são processados, quanto tempo permanecem disponíveis, quem pode consultá-los e como são removidos. A resposta pode variar por plano, região e configuração do espaço de trabalho.
Dados pessoais, financeiros, médicos, contratuais, credenciais e propriedade intelectual exigem avaliação adicional. Não use um piloto para contornar revisão jurídica, de segurança ou de residência de dados. Quando o caso puder ser testado com exemplos sintéticos, comece por eles.
Checklist antes de conectar
- Defina a tarefa e o resultado esperado em uma frase.
- Liste os sistemas e os conjuntos de dados indispensáveis.
- Separe ações de leitura, escrita, exclusão, envio e publicação.
- Escolha uma identidade sem privilégios administrativos desnecessários.
- Revise os componentes do Plugin e as Apps obrigatórias ou opcionais.
- Confirme sincronização, retenção, região e acesso ao conteúdo indexado.
- Exija confirmação para efeitos externos e ações difíceis de desfazer.
- Defina logs suficientes para auditoria, sem registrar segredos.
- Prepare um procedimento de revogação e um responsável pelo acesso.
- Execute o primeiro teste com dados sintéticos e escopo reduzido.
Como testar sem colocar a operação em risco
Monte três cenários: um pedido permitido, um pedido fora do escopo e um conteúdo com instrução maliciosa. No primeiro, confirme que o agente acessa apenas os dados necessários. No segundo, verifique se ele recusa ou pede autorização. No terceiro, observe se trata a instrução externa como dado e evita revelar informações ou executar ações.
Teste também falhas: credencial revogada, serviço indisponível, item inexistente e confirmação negada. O comportamento seguro deve ser compreensível e não converter uma falha de validação em autorização automática. Registre o que aconteceu, a identidade usada, o horário, a ação solicitada e o resultado, sem armazenar conteúdo sensível além do necessário.
Confirmação humana precisa mostrar o que vai acontecer
Uma caixa genérica de “continuar” não é suficiente para uma ação sensível. A pessoa precisa ver a operação, o destino, a conta, o volume e os principais efeitos. Para enviar uma mensagem, mostre destinatários e conteúdo. Para alterar arquivos, mostre caminhos e uma prévia do diff. Para publicar, mostre título, canal e visibilidade.
A confirmação deve ocorrer perto da ação. Uma autorização ampla concedida no início da conversa pode não refletir mudanças de escopo que surgiram depois. Ações em lote, compras, exclusões, mudanças de permissão e comunicação externa merecem confirmação separada.
Depois do piloto, revise o acesso novamente
Permissões envelhecem. A pessoa muda de função, o Plugin ganha componentes, a App adiciona ações e o sistema de origem amplia o acesso da conta. Defina uma revisão periódica e repita a análise quando houver atualização relevante, incidente ou mudança de finalidade.
Remova conexões que não são usadas, reduza escopos amplos e confira se ações de escrita continuam necessárias. Quando um Plugin é desabilitado, verifique o efeito sobre as Apps compartilhadas e sobre outros fluxos. Instalação, disponibilidade e permissão são controles distintos.
Monte uma matriz simples de decisão
Para cada capacidade, registre quatro respostas: necessária agora, autorizada no piloto, exige confirmação e responsável. Uma linha para “ler arquivos da pasta do projeto” pode ser necessária e autorizada sem confirmação por item. Outra linha para “compartilhar arquivo externamente” pode ser desnecessária e permanecer bloqueada. Uma terceira, “criar rascunho no sistema”, pode ser autorizada, mas exigir revisão antes de qualquer publicação.
Acrescente uma coluna de evidência para indicar onde o controle foi verificado: tela de configuração, escopo OAuth, política da ferramenta, permissão no sistema de origem ou teste observado. Declarações no texto da Skill são úteis, mas não substituem um bloqueio técnico quando a consequência é relevante.
A matriz também ajuda no encerramento. Ao fim do piloto, revogue a conexão, remova arquivos temporários, confira índices sincronizados e registre o que precisa ser mantido. Se a equipe decidir avançar, a mesma ficha vira a base para aprovação e revisão periódica.
Resultado esperado
Ao final, você deve ter uma ficha curta com tarefa, dono, identidade, dados permitidos, ações permitidas, ações proibidas, confirmações, retenção, logs, data de revisão e procedimento de revogação. Essa ficha transforma uma conexão conveniente em uma decisão rastreável.
O objetivo não é eliminar todo risco nem impedir automação. É limitar o impacto de um erro, tornar ações importantes visíveis e garantir que a autoridade do agente corresponda ao trabalho que ele realmente precisa executar.