12 de agosto de 2026
Os agentes de IA estão a sair do laboratório e a entrar em produção. Eles pesquisam, escrevem código, acedem a aplicações, concluem transações e encadeiam tarefas com várias etapas com pouca supervisão humana. Essa mudança cria um problema de identidade dos agentes de IA para o qual a maioria das organizações não se preparou, porque os sistemas a que agora se pede que regulem os agentes nunca foram concebidos a pensar neles.
A gestão tradicional de identidades e acessos pressupõe a existência de uma pessoa do outro lado. Os colaboradores iniciam sessão, obtêm acesso associado à sua função e perdem-no quando saem da empresa. Os agentes quebram esse modelo. Um agente pode funcionar 24 horas por dia, interagir com uma dúzia de sistemas ao mesmo tempo e agir em nome de várias pessoas diferentes ao longo de um dia.
No seu relatório «Hype Cycle™ for Digital Identity 2026», consideramos que a Gartner® destaca três fatores que estão a redefinir a identidade digital: a ascensão dos agentes de IA, a procura por visibilidade da identidade e um conjunto cada vez mais vasto de ameaças relacionadas com a identidade. A ideia central é que os responsáveis pela segurança terão de repensar onde investem, se quiserem apoiar a adoção da IA sem perder o controlo sobre quem e o que pode aceder aos seus sistemas.
O IAM foi concebido para as pessoas
O IAM convencional funciona quando o utilizador é uma pessoa com um cargo, um gestor e um conjunto de responsabilidades relativamente estável. Um agente não tem nada disso. Pode precisar de um registo de cliente durante dois segundos, chamar uma API, atualizar um campo e seguir em frente, com as suas permissões a variarem de uma transação para a seguinte.
Atualmente, muitas equipas lidam com essa atividade através de contas de serviços partilhados, chaves de API estáticas ou um login de colaborador emprestado. Esses atalhos permitem que um projeto entre em funcionamento mais rapidamente, mas deixam algumas questões básicas sem resposta: quem é que, na verdade, realizou a ação, o que é que o agente estava autorizado a fazer, se era necessário todo esse nível de acesso e quem é o responsável quando algo corre mal. Assim que a atividade do agente é integrada numa conta humana ou partilhada, o registo de auditoria perde grande parte do seu significado e torna-se mais difícil controlar as permissões.
As identidades das máquinas estão a ultrapassar os programas destinados a controlá-las
As identidades não humanas já se estão a multiplicar nos serviços na nuvem, nas APIs, nos contentores, nos fluxos de trabalho automatizados e nas aplicações empresariais, mesmo antes de os agentes terem entrado em cena. O inquérito «Gartner 2025 Machine Identity» revelou que «94 % das organizações estão a lidar com um aumento das identidades de máquinas, impulsionado em grande parte pela IA e pela implementação de agentes de IA».
Essa lacuna transforma problemas de higiene de segurança comuns em problemas em grande escala. As credenciais mantêm-se ativas para além do seu propósito, as permissões acumulam-se e as equipas perdem a noção de quais as identidades existentes e a que têm acesso. Um atacante não precisa de comprometer o acesso de um colaborador quando existe uma conta de serviço com privilégios excessivos ou um agente a funcionar com uma chave de longa duração à disposição.
A autenticação, por si só, não será suficiente para sustentar a próxima estratégia de IAM
A autenticação de um agente confirma qual é a identidade que está a efetuar um pedido. Não diz nada sobre se o pedido é razoável. Responder a essa questão implica ponderar o papel do agente, a pessoa em nome da qual está a agir, a tarefa que tem em mãos e a sensibilidade do que está a tentar aceder, e uma única decisão de início de sessão não pode abranger tudo isso.
Na nossa opinião, o Gartner Hype Cycle™ agrupa várias tecnologias emergentes em torno desta questão: identidade de agentes de IA, gestão do acesso a cargas de trabalho, controlo de acesso baseado na intenção, gestão da postura de segurança da identidade e plataformas de visibilidade da identidade. Em conjunto, estas tecnologias descrevem um modelo mais dinâmico, em que o acesso pode ser de curta duração, limitado a uma única tarefa e revisto continuamente, em vez de ser concedido uma vez e esquecido.
Por onde começar
O primeiro passo prático consiste em identificar como os agentes já estão a ser utilizados na sua organização, incluindo os projetos aprovados e aqueles que um programador configurou sem uma revisão formal. A partir daí, poderá identificar onde os agentes estão a ser executados com credenciais de utilizadores, a partilhar contas de serviço, a deter permissões amplas ou permanentes, a aceder a dados sensíveis ou a operar sem um responsável claro.
O objetivo não é abrandar a adoção da IA, mas sim evitar que uma solução provisória se transforme numa arquitetura de segurança permanente. Isso ajuda a ligar a gestão da identidade dos agentes de IA ao trabalho já em curso nas áreas da identidade das máquinas e do modelo Zero Trust. Se a IA for tratada como um projeto de segurança independente, cria-se mais um silo; se os agentes forem tratados como identidades, é possível aplicar controlos que a empresa já compreende.
Um conjunto de perguntas mais difíceis
Durante anos, o IAM resumia-se a uma única questão: será este o utilizador certo? Os agentes acrescentam várias outras: O que está na origem deste pedido? Quem o autorizou? O que está a tentar fazer? Deverá continuar a ter acesso neste momento? Estas questões tornam-se mais difíceis de responder à medida que os agentes assumem mais trabalho, e as organizações que as abordarem atempadamente terão muito mais margem para utilizar a IA sem lhe concederem um acesso amplo e invisível em toda a empresa.
O «Gartner Hype Cycle™ para a Identidade Digital, 2026» apresenta mais de duas dúzias de tecnologias que estão a redefinir a identidade, desde a identidade de agentes de IA e a gestão do acesso a cargas de trabalho até às plataformas de visibilidade da identidade e ao «Shared Signals Framework», cada uma com a classificação de benefícios da Gartner, a avaliação de maturidade e o tempo estimado para a adoção generalizada.
Descarregue o «Gartner Hype Cycle for Digital Identity, 2026» ›
Gartner, «Hype Cycle for Digital Identity», 2026, Zachary Smith, Nayara Sangiorgio, 6 de julho de 2026.
A Gartner e o Hype Cycle são marcas registadas da Gartner, Inc. e/ou das suas afiliadas.
A Gartner não apoia nenhuma empresa, fornecedor, produto ou serviço mencionado nas suas publicações, nem aconselha os utilizadores de tecnologia a escolherem apenas os fornecedores com as classificações mais elevadas ou outras designações. As publicações da Gartner refletem as opiniões da organização de análise empresarial e tecnológica da Gartner e não devem ser interpretadas como afirmações de facto. A Gartner isenta-se de todas as garantias, expressas ou implícitas, relativamente a esta publicação, incluindo quaisquer garantias de comercialização ou adequação a um fim específico.
Este gráfico foi publicado pela Gartner, Inc. como parte de um documento de investigação mais abrangente e deve ser analisado no contexto do documento na sua totalidade. O documento da Gartner está disponível mediante pedido à IPROOV LTD.
Próximo artigo da série: por que razão os agentes de IA precisam de identidades próprias e por que razão permitir que utilizem as credenciais dos colaboradores causa mais problemas do que aqueles que resolve
