Existe um teste de governança de agentes que cabe numa frase e não precisa de ferramenta nenhuma. Escolha um agente em produção e responda: o que a credencial dele consegue fazer numa terça-feira às três da manhã, sem nenhuma tarefa em execução e ninguém olhando?
Por que essa pergunta funciona
Ela remove do enquadramento tudo o que costuma mascarar o risco. Não pergunta o que o agente faz — pergunta o que ele pode fazer. Não pergunta o que a documentação diz, pergunta o que o IAM permite. E remove a suposição de supervisão, que é a muleta favorita de qualquer desenho frouxo.
Na maioria dos ambientes, a resposta honesta é: tudo o que ele consegue fazer em qualquer outro horário, porque a permissão não tem noção de tempo, de tarefa ou de contexto.
Permissão que não muda entre trabalhar e estar ocioso é privilégio permanente, independente de como o documento de arquitetura a chama.
As três respostas que definem a maturidade
- “Não sei.” Falta inventário de permissão. É o estágio mais comum e o mais fácil de corrigir — a informação existe no IAM, só ninguém consolidou.
- “Tudo o que faz de dia.” Existe inventário, falta desenho. É onde entra elevação por tarefa.
- “Leitura no escopo X, e nada mais até alguém solicitar.” Aqui a governança é real, e o resto do programa fica muito mais barato.
Como levar isso para a diretoria
A pergunta funciona também como ferramenta de comunicação, porque não exige vocabulário técnico. “Temos onze agentes que, às três da manhã, podem apagar registro de cliente sem que ninguém precise aprovar” é uma frase que qualquer executivo entende, e que produz decisão. “Nossa postura de IAM para cargas de trabalho não-humanas está aquém do desejável” não produz nada.
A versão de acompanhamento
Depois de responder para um agente, repita para os outros e transforme em métrica: quantos agentes têm permissão de escrita em repouso. O número deveria cair com o tempo. Se estiver subindo, o programa está perdendo, mesmo que nenhum incidente tenha acontecido ainda.
