Escrever a política de uma página que o regulador pede

Uma política de servidores que não chega à máquina de quem trabalha custa o mesmo que nenhuma política no dia do incidente, e ainda deixa a assinatura do comitê no documento. A distância entre a política que trava incidente e a que existe em arquivo costuma ser de uma linha de configuração.

Na distribuidora de material de construção, o documento aprovado dizia que só servidores homologados poderiam ser conectados, com sete nomes no anexo. Três meses depois, o inventário encontrou dezenove servidores rodando nas estações do time de dados. Nenhum deles violava a política, porque a política nunca chegou às máquinas.

O segundo achado foi pior e é o motivo deste capítulo. A lista de sete nomes tinha sido implantada e ainda assim não barrava nada. O nome de um servidor é um rótulo que a própria pessoa escolhe ao configurá-lo, e a documentação do fornecedor registra por escrito que entrada por nome de servidor não é controle de segurança. Quem quer contornar a política renomeia o servidor com um dos sete nomes e a conexão é liberada.

A boa notícia operacional é que o controle existe, é gratuito e usa a ferramenta de gestão de frota, o sistema que instala e configura os computadores da empresa à distância. Falta, na maioria das empresas, a decisão de escrever a política pelo campo que se impõe de verdade e de testar se ela vale antes de considerá-la vigente.

O evento que precisa de aprovação é a conexão, e não a chamada

Quem vem de governança de sistemas tende a aprovar a operação sensível: liberar a leitura, pedir confirmação humana na escrita. Em conexão de agente a servidor essa aprovação chega tarde, pelo motivo visto em "Reconhecer os ataques próprios deste protocolo". Ao se conectar, o cliente pede a lista de ferramentas e coloca as descrições recebidas no contexto do modelo. Um servidor hostil manipula o modelo sem nunca ter uma ferramenta invocada.

A consequência para a política cabe em uma linha. O gatilho de autorização é a conexão a um servidor, com registro de quem pediu e de quem aprovou. Aprovar por chamada de ferramenta continua valendo como segunda camada, sem substituir a primeira.

Depois da aprovação aparece o item mais subestimado da governança. Um servidor aprovado hoje pode ganhar uma ferramenta destrutiva amanhã, pelas mãos do próprio fornecedor. Pergunte na homologação o que acontece quando o fornecedor adiciona ferramenta ao servidor já aprovado. Se a resposta for que ela entra sozinha, a aprovação inicial perdeu o valor. Uma das plataformas resolve isso fazendo a ação nova entrar desabilitada e exibindo a mudança como diferença ao administrador.

A trilha que atende a duas cobranças diferentes

Em 20/05/2026 a agência nacional de segurança dos Estados Unidos, a NSA, publicou orientação formal sobre este protocolo, afirmando que a adoção rápida superou o desenvolvimento das salvaguardas. São cinco recomendações que cabem numa política corporativa. Acesso mínimo necessário. Separação de sistemas por nível de confiança. Ferramentas mantidas e revisadas antes da produção. Validação de entradas contra regras predefinidas. E registro de qual ferramenta foi solicitada, por quem e com que resultado.

O último item interessa duas vezes. Ele é o mínimo pedido pela orientação de segurança. É também a evidência que a autoridade nacional de proteção de dados vai pedir sobre o tratamento feito por sistema automatizado. Construir a trilha uma vez resolve as duas cobranças e muda a conversa de orçamento: vira um item só, com dois motivos, em vez de segurança e conformidade disputando a mesma verba.

Quem governa o padrão, e por que a política cita isso

O protocolo deixou de ser de uma empresa só. Ele está na Agentic AI Foundation, braço da Linux Foundation que também abriga goose, AGENTS.md e agentgateway. Em 13/08/2026 a fundação anunciou 57 novos membros, entre eles Alibaba, Visa e Wells Fargo no nível Gold, e passou a somar 247 organizações. No nível Platinum estão AWS, Anthropic, Block, Bloomberg, Cloudflare, Google, Microsoft e OpenAI.

Para a política, o efeito é concreto. Mudança no padrão passa por proposta pública, e recurso depreciado ganha janela mínima de 12 meses antes da remoção. Isso permite escrever uma regra estável: a política exige a revisão vigente da especificação, hoje a 2026-07-28, e se revisa a cada seis meses contra a lista pública de recursos depreciados.

A moldura legal brasileira aplicada a agente que chama ferramenta

A lei brasileira de proteção de dados pessoais resolve a pergunta de responsabilidade sem precisar de lei nova. Controlador é quem decide sobre o tratamento; operador é quem trata em nome dele, dentro das finalidades e dos limites que ele impôs. Quando o servidor de um fornecedor processa dado pessoal de um cliente seu, esse fornecedor é seu operador. Você responde perante o titular e a autoridade, ainda que o erro tenha sido do fornecedor.

Esse encaixe muda a pergunta que o jurídico faz na homologação. Sai a certificação do fornecedor e entram quatro perguntas: onde o dado é tratado, para qual finalidade declarada, por quanto tempo fica retido e o que acontece com ele no fim do contrato. A diretora jurídica da distribuidora passou a exigir essas quatro linhas antes de liberar qualquer conector que toque o cadastro de cliente.

Duas escolhas de fornecedor mudam o custo jurídico. A primeira é a localização do servidor. Desde janeiro de 2026, servidor hospedado na União Europeia dispensa cláusulas contratuais padrão para o fluxo entre Brasil e Europa, por efeito da adequação recíproca. Servidor nos Estados Unidos ou em outra jurisdição continua exigindo mecanismo próprio de transferência internacional.

A segunda é o caminho de conexão. O conector MCP da API do Claude, em beta, não é elegível à retenção zero de dados, a modalidade em que o fornecedor descarta o conteúdo logo após responder. Ele também não está disponível pelo Bedrock nem pelo Google Cloud. Quem trata dado sensível precisa escrever na política qual caminho de conexão cada tipo de dado pode usar.

Não existe caso brasileiro de governança deste protocolo documentado em material técnico público. Os dois fatos nacionais datados são de outra natureza. O primeiro é um lançamento de produto em 19/05/2026, de uma infratech de serviços financeiros que expôs documentação a agentes. O segundo é uma palestra de 23/04/2026, de dois engenheiros do Nubank, sobre escalar o protocolo para mais de dois mil engenheiros.

Esse vazio é útil na sala de decisão. Empresas brasileiras de porte já operam o protocolo em escala e não publicaram como o governam. Quem precisa escrever a política neste trimestre não tem referência nacional para copiar e vai se apoiar na orientação da NSA e no eixo de fiscalização da autoridade nacional. A escala citada na palestra também desmonta o argumento de que a tecnologia seria imatura.

Abra hoje o modelo acima, preencha os oito campos com nome de pessoa em cada um e marque a reunião de comitê para daqui a dez dias. A política estará valendo quando, até o dia 15, existir a captura datada de uma máquina de teste recusando um servidor fora da lista e a data da revisão semestral estiver escrita no rodapé.