Inventariar o que já roda nas máquinas do time

Servidores de agente provavelmente já rodam nas máquinas do seu time sem contrato, sem compras e sem revisão de segurança. A instalação é um arquivo de texto dentro de uma pasta de projeto, e o processo resultante herda os privilégios de quem abriu o assistente. Cada um deles pode ler um banco de produção com a senha de um analista, e nenhum aparece na lista de fornecedores.

O problema chega à sua mesa por um caminho torto

Ninguém apresenta pedido de aprovação para ligar uma ferramenta de inteligência artificial a um sistema interno. Um desenvolvedor lê um tutorial, copia oito linhas para um arquivo do repositório em que já trabalha, e no minuto seguinte o assistente dele lê o banco de homologação. Duas semanas depois metade da equipe fez o mesmo, porque funcionou.

Quando o assunto finalmente sobe, ele sobe errado: como pedido de orçamento para uma plataforma de governança de agentes, ou como incidente. Em nenhum dos dois casos alguém apresenta a lista do que já está ligado. A pergunta deste capítulo vem antes de qualquer compra e custa menos que qualquer plataforma: quantos servidores rodam hoje, quem autorizou cada um, com que privilégio e alcançando o quê.

Esse tipo de instalação escapou dos controles por um motivo estrutural. Software corporativo entra pela porta de compras, com contrato, fornecedor e nota fiscal. Um servidor local entra pela porta do sistema operacional, como qualquer processo que o usuário tem direito de iniciar. Nenhum controle de aquisição foi desenhado para barrar um arquivo de configuração.

Cada assistente guarda a configuração num lugar diferente

Em setembro de 2026 a estação de trabalho típica de um time de tecnologia tem quatro famílias de assistente que falam o protocolo. Claude Code e Claude Desktop, da Anthropic. ChatGPT com modo desenvolvedor, da OpenAI, que dá acesso de leitura e de escrita a servidores remotos. Antigravity CLI, que substituiu o Gemini CLI para usuários individuais do Google desde 18/06/2026. E Grok Build, a ferramenta de terminal da xAI.

Essas quatro famílias somam-se aos editores com assistente embutido, como o Visual Studio Code e o Cursor. Cada cliente carrega o próprio arquivo, no próprio lugar e no próprio formato. O arquivo do Claude Desktop configura aquele cliente e mais nenhum; o do Claude Code, outro; o do Antigravity, um terceiro. Padronizar máquinas a partir de um único arquivo cobre uma fatia pequena do que está instalado.

Por isso o levantamento é feito cliente por cliente, e a imposição de política é escrita por comando executado e por endereço de servidor. Esses dois critérios atravessam a diferença de formato entre os clientes. O ChatGPT é a exceção que confunde a varredura: o servidor fica cadastrado na conta da pessoa, nas configurações do site, e não deixa arquivo na máquina.

Execução local roda com o privilégio de quem chamou

O modo mais comum de rodar um servidor na máquina é pela entrada e saída padrão (o canal pelo qual o sistema conversa com programas de terminal, como um interfone interno). O cliente executa um comando, o comando vira processo, e o processo herda o ambiente de quem o iniciou: tokens de nuvem, chaves de sistemas, arquivos e rede interna.

Rodar localmente parece mais seguro, e a intuição erra sobre onde mora o risco. A própria especificação lista a execução arbitrária de comando com os privilégios do cliente como risco da modalidade local. Ela prescreve dois controles: consentimento explícito, com o comando exibido na íntegra antes da execução, e isolamento, com arquivos e rede restritos. A localidade não entra na lista porque não controla coisa alguma.

O caso datado que prova o ponto está em "Tirar lição dos incidentes que já aconteceram": um assistente de desenvolvimento carregava sozinho a configuração de servidor encontrada no repositório aberto, sem pedir confirmação. Abrir um repositório clonado bastava. A correção entregue introduziu exatamente o primeiro controle, o consentimento antes do carregamento.

O navegador é a superfície mais subestimada da casa

Quando o agente ganha teclado dentro do navegador da pessoa, ele entra numa sessão já autenticada. O sistema do outro lado vê o cookie de sempre e registra a ação no nome de sempre. O protocolo usado para isso chama-se Chrome DevTools Protocol (o painel de controle remoto do navegador, como o controle da televisão).

O risco tem dois nomes, e nenhum deles é criptografia de transporte. O primeiro é injeção pelo conteúdo da página: o texto que o agente lê vem de uma página que a empresa não controla e pode carregar instrução. O segundo é a execução com a credencial da pessoa, que apaga a distinção entre o que ela fez e o que o software fez. Certificado e rede privada protegem o caminho, e o problema mora no conteúdo e na identidade.

Dessa leitura sai uma decisão estreita e rápida. Existe uma lista curta de operações que nenhum agente executa em sessão autenticada sem confirmação humana no ato: aprovar pagamento, alterar cadastro de fornecedor, emitir nota, conceder acesso e enviar mensagem em nome da empresa. Escrever essa lista custa uma reunião de quarenta minutos.

O sistema operacional entrou na conversa, e isso barateia o inventário

A Microsoft documenta um registro de agentes no Windows que descobre conectores locais e remotos do protocolo, com contenção em ambiente separado por padrão, controle pela ferramenta de gestão de dispositivos e registro das interações. Na atualização de 04/06/2026, a página ainda marcava o recurso como prerelease, sujeito a mudança.

O item de custo está em outro lugar. O registro corporativo de agentes da Microsoft ficou disponível em 01/05/2026 e enxerga agentes locais não gerenciados, descobertos pelas ferramentas de segurança e de dispositivo que a empresa já opera, incluindo servidores locais e remotos deste protocolo. Para quem já paga essas ferramentas, o inventário vira um relatório a pedir, sem verba nem fornecedor novo.

A revisão 2026-07-28 da especificação, vigente desde 28/07/2026, ajuda a fechar a planilha. Todo servidor atualizado responde a uma pergunta padrão, chamada server/discover (o cartão de visita que o servidor entrega a quem pergunta), com versão, capacidades e identidade. Servidor que não responde está numa revisão anterior, e isso já é um dado de risco para a linha dele.

Homologar tem ferramenta própria, e ela é gratuita

Observar um assistente conversando com o servidor produz evidência fraca, porque mostra comportamento e esconde o contrato. A ferramenta oficial de inspeção do projeto conecta ao servidor e lista as ferramentas declaradas, os formatos de entrada e saída, os recursos e os modelos de pedido. Ela roda por linha de comando, tem interface web e modo automatizável.

Cobrar isso do time é simples. Antes de aprovar um servidor de terceiro, peça a listagem de ferramentas produzida por essa inspeção, com data, e guarde o arquivo. Na renovação, peça de novo e compare. O ataque em que a descrição de uma ferramenta muda depois da aprovação, tratado em "Reconhecer os ataques próprios deste protocolo", morre contra essa comparação, que custa quinze minutos de um analista.

O que levar para a próxima reunião

Peça hoje o relatório de agentes não gerenciados ao time de segurança e nomeie o dono do inventário antes de sair da sala. No décimo dia útil, confira três números na planilha: total de servidores, quantos têm escrita em produção e quantos ficaram sem dono. Se o terceiro número for maior que zero, o prazo de declaração ainda não terminou.

O achado que costuma mudar a pauta é outro: o acesso do agente não segue o ciclo de vida de ninguém. Ele é concedido máquina a máquina e continua ativo depois que a pessoa sai. Leve esse achado para "Amarrar o acesso do agente ao crachá da pessoa" e marque a revisão do desligamento para a semana seguinte ao inventário.