O papel em evolução do CISO: proteger e defender na era dos agentes de IA
Em um artigo de opinião no Microsoft Security Blog, a executiva Aarti Borkar argumenta que o CISO moderno precisa equilibrar duas frentes diante da adoção crescente de agentes de IA nas empresas: habilitar a inovação com salvaguardas de identidade e dados, e modernizar a defesa para acompanhar ameaças que também usam IA. A Microsoft cita que o número de agentes ativos no Microsoft 365 cresceu 15 vezes em um ano, e recomenda tratar cada agente como uma identidade própria e governada, nunca herdando credenciais humanas compartilhadas.
Em um artigo publicado no Microsoft Security Blog, a executiva Aarti Borkar argumenta que a adoção acelerada de agentes de IA dentro das empresas está redefinindo o papel do CISO, que passa a equilibrar duas prioridades ao mesmo tempo: viabilizar a inovação agêntica com as salvaguardas certas de identidade e dados, e modernizar as defesas para acompanhar ameaças que também são potencializadas por IA. Como indicador concreto do ritmo dessa adoção, a Microsoft cita que o número de agentes ativos no seu próprio ecossistema Microsoft 365 cresceu 15 vezes ano a ano.
No eixo de identidade, a recomendação central é atribuir a cada agente de IA uma identidade própria e governada, em vez de deixá-lo herdar credenciais pessoais ou compartilhadas de um usuário humano. O argumento técnico é de rastreabilidade e contenção: quando um agente age de forma indevida ou é comprometido, a equipe de segurança precisa conseguir isolar exatamente qual agente foi responsável e com que permissões operava — algo que se torna impossível se vários agentes compartilham uma mesma credencial de serviço.
No eixo de dados, o post adota uma postura de "assuma o uso indevido": qualquer informação acessível a um agente deve ser tratada como informação que ele eventualmente vai usar ou expor, o que implica resolver a governança de acesso antes de conectar o agente a um sistema, não depois. Do lado ofensivo, o texto reconhece que atacantes também usam IA para acelerar reconhecimento e execução de ataques, comprimindo a janela de tempo que times de defesa têm para detectar e responder — e propõe, como resposta, integrar agentes de IA ao fluxo de trabalho de analistas humanos de SOC, em vez de tratá-los como uma camada separada.
Vale notar que se trata de um artigo de orientação estratégica e opinião executiva, sem um incidente concreto, vulnerabilidade específica ou CVE associado — seu valor está em sintetizar, vindo de um grande fornecedor de infraestrutura corporativa, princípios de governança de identidade e dados para agentes de IA que já vêm sendo discutidos por outras empresas de segurança. Para times de segurança, a utilidade prática está menos no ineditismo do conteúdo e mais na confirmação de que a gestão de identidade de agentes e a assunção de exposição de dados acessíveis a agentes já são consideradas boas práticas correntes pelo mercado.