Medir o grau de poder de cada servidor

Aprovar em bloco uma lista de trinta e quatro capacidades é assinar um cheque sem ler o valor. O pedido que chega hoje traz nomes técnicos e uma coluna chamada descrição. Ninguém na sala consegue dizer quais itens alteram algo no ERP, e a pergunta instintiva do comitê, se é seguro, não tem resposta nessa forma.

A pergunta que tem resposta cabe em três partes: o que é leitura, o que é escrita e quando uma pessoa da casa precisa autorizar. Reordenada por grau de poder, a lista costuma virar vinte e poucas leituras e meia dúzia de escritas. As leituras pedem conversa sobre confidencialidade; as escritas pedem aprovação item a item.

Por que essa separação não vem pronta

Quem publica o servidor escolhe como agrupar as capacidades, e juntar leitura e escrita na mesma capacidade sai mais barato de construir. Existe critério publicado que proíbe isso em processo de listagem, apresentado mais adiante neste capítulo. Enquanto o fornecedor não o cumprir, a separação é trabalho da sua equipe.

Recurso, o grau da leitura

O servidor publica conteúdo com endereço próprio, como a tabela de preço vigente, a política de crédito ou um contrato, e o agente lê quando precisa. É o grau com melhor relação entre valor e risco, porque não altera nada. Sem ele, alguém cola o documento na conversa à mão, sem controle nem registro.

Leitura, porém, vaza. Um recurso que devolve a tabela de preço por cliente entrega a política comercial inteira a quem tiver acesso à conversa. Aprove leitura por classificação de dado, como a empresa já faz com relatório. Se o dado exigiria pedido formal para um analista, exige pedido formal para o agente.

Ferramenta, o grau da ação

O servidor publica capacidades que fazem algo: criar pedido, alterar limite de crédito, cancelar entrega, disparar mensagem a cliente. É a razão econômica do projeto, porque elimina a transcrição, onde nascem erro e atraso. Cada ferramenta declara os campos que aceita, e as bem construídas declaram também a forma do que devolvem.

Nada no protocolo distingue escrita reversível de irreversível; quem declara isso é o próprio servidor. O erro mais caro é aceitar capacidade genérica, com o método passado por parâmetro. Ela equivale a todas as ferramentas ao mesmo tempo. Toda escrita passa por aprovação nominal, com teto quando envolve valor e versão fixada no catálogo.

Roteiro, o grau do padrão

O servidor publica um modelo de pedido pronto, que a pessoa aciona de propósito, como um modelo de e-mail salvo. Padroniza a forma de pedir e reduz a variação de resultado entre pessoas que fazem a mesma tarefa. É o grau mais barato de governar, porque exige acionamento humano e não executa nada sozinho.

Justamente por não ter poder sobre sistemas, roteiro não substitui controle algum; apresentado como controle de segurança, é confusão de categoria. Cuidado também ao contar itens: confundir roteiro com ferramenta infla ou esvazia a lista do que precisa de aprovação. Aprove roteiros por padrão e revise junto com o conteúdo interno.

O segundo ponto de parada tem nome no protocolo e uma história curta que ensina bastante. Entrou na revisão de 18 de junho de 2025 como a capacidade de o servidor pedir entrada humana no meio da operação, em vez de falhar ou adivinhar. Em 25 de novembro de 2025 ganhou modo por endereço, listas de opção com rótulo legível e valores padrão.

Na prática, a aprovação humana vira parte da operação. O agente começa a lançar o pedido, descobre que o cliente tem duas condições de pagamento cadastradas e para para perguntar qual, com as duas opções na tela. É a diferença entre um agente que erra sozinho e um que devolve a decisão a quem tem alçada.

O que mudou em 28 de julho de 2026

O mecanismo continua e o canal mudou. O servidor não chama mais o aplicativo de volta. Devolve um resultado do tipo input_required, que declara o que falta, e o aplicativo repete o pedido com a resposta. Fornecedor que prometeu interação no meio da chamada precisa comprovar que já migrou. Prazos em "Ler a data de validade de cada recurso".

Saída estruturada é assunto de auditoria, embora costume ser vendida como refinamento técnico. Uma ferramenta bem construída declara a forma do que devolve, e o resultado volta em campos verificáveis contra essa declaração. Com isso, o registro guarda número de pedido, valor e status, cada um no campo próprio, e a conferência é automática.

Sem saída estruturada, o registro guarda um parágrafo de texto livre, e conferir cinquenta lançamentos vira leitura humana de cinquenta parágrafos. A revisão 2026-07-28 ampliou o que essas declarações podem expressar, com limites contra declaração que consome recurso demais. Ligações para documento dentro do resultado seguem ativas, o que evita carregar o documento inteiro na conversa.

Um critério publicado custa quinze minutos de leitura e derruba proposta ruim antes da reunião técnica. São as regras de pré-submissão que a Anthropic aplica a conectores antes de aceitá-los no diretório. Quatro delas servem a qualquer avaliação, seja qual for o assistente que a empresa usa. Desde 25 de setembro de 2026, o portal de submissão também passa conector e plugin por varredura de segurança e revisão.

Primeiro, separar ferramenta de leitura de ferramenta de escrita. Segundo, rejeitar capacidade genérica com o método passado por parâmetro, o cheque em branco. Terceiro, limitar o nome de cada capacidade a 64 caracteres, porque nome comprido esconde a operação real numa lista de trinta itens. Quarto, proibir instrução oculta ou codificada na descrição.

O mesmo processo pede que o servidor declare as marcas de risco, e isso convive com o alerta anterior. Declarar ajuda a ergonomia de quem usa e é exigência de listagem. Confiar na declaração como portão de segurança continua sendo erro.

Escolha o servidor com mais capacidades ligado hoje na empresa e peça a lista classificada nos cinco graus. Em dez dias úteis, confira dois números: quantas capacidades alteram estado e quantas delas exigem aprovação humana no aplicativo. Se os dois números não forem iguais, suspenda as escritas sem aprovação até a lista de permitidas ser corrigida.