Um humano comprometido age em minutos e hesita diante de uma instrução estranha. Um agente age em milissegundos, em loop, e não hesita. Essa diferença de velocidade muda qual controle importa: prevenção continua valendo, mas contenção passa a valer mais.
Dois modos de falha, mesma mitigação
O primeiro modo é malicioso: contexto envenenado manda o agente iterar sobre registros e enviar tudo para fora. O segundo é banal: um bug de orquestração coloca o agente num ciclo que chama a mesma ferramenta milhares de vezes. O segundo é muito mais comum e produz os mesmos sintomas iniciais — o que é uma boa notícia, porque significa que o controle contra erro também serve contra ataque.
Os limites que valem a pena
- Orçamento de chamadas por tarefa. Uma tarefa que precisava de 12 chamadas e já fez 400 está errada, independente do motivo. Corte e peça intervenção humana.
- Limite por ferramenta, não global. Cinquenta leituras podem ser normais; cinquenta escritas externas quase nunca são.
- Limite de volume de dado, não só de contagem. Uma única chamada que retorna 2 GB é mais preocupante que mil chamadas pequenas.
- Circuit breaker em erro repetido. Falha idêntica três vezes seguidas indica que o agente não está aprendendo com o resultado; continuar só amplia o dano.
- Kill switch por identidade. Precisa existir um comando único que revoga a credencial de um agente específico sem derrubar a plataforma inteira — e ele só é possível se cada agente tiver identidade própria.
O sinal que ninguém usa: custo
Gasto de inferência e de API é telemetria de segurança disfarçada de financeiro. Um agente sequestrado ou em loop aparece na fatura antes de aparecer no SIEM, porque o time de FinOps monitora anomalia de custo por hábito. Vale conectar esse alerta ao time de segurança — é detecção gratuita que já está rodando.
A primeira pessoa a notar um agente fora de controle costuma ser quem paga a conta, não quem monitora o log.
Onde implementar
No lado do cliente ou no gateway, nunca só no servidor de ferramenta. O servidor vê chamadas isoladas; quem tem noção de tarefa, de orçamento e de sequência é a camada de orquestração. Colocar o limite só no servidor é como pedir para cada microserviço descobrir sozinho que está sob ataque distribuído.
