Classificar cada fluxo de IA pela Regra dos Dois antes de aprovar

Um fluxo de IA que junta dado privado, conteúdo vindo de fora e capacidade de agir para fora só vai a produção se perder um desses fatores ou ganhar aprovação humana antes de cada ação. A regra vale para quem aprova projetos de IA em comitê, e a ação de hoje é classificar os fluxos que já rodam.

Um currículo em PDF com uma linha escrita em fonte branca ou um e-mail de fornecedor com uma instrução no rodapé chegam ao modelo pelo mesmo canal das ordens da empresa, e o modelo pode obedecer. Quando o mesmo fluxo alcança a base de clientes e consegue enviar e-mail, a instrução escondida encontra material para levar e porta para sair.

Nenhum alarme tradicional dispara nesse ataque, porque a saída usa credencial válida e canal autorizado. Por isso a pergunta que o comitê responde antes do piloto é de arquitetura: quantos dos três fatores o fluxo reúne e qual controle cobre essa combinação.

A tríade letal (lethal trifecta) foi descrita por Simon Willison em 16/06/2025: acesso a dados privados, exposição a conteúdo não confiável e capacidade de comunicar para fora. Com as três juntas, um atacante faz o agente vazar dados; retirada qualquer uma delas, o ataque perde o caminho. Conteúdo não confiável é todo texto que a empresa não escreveu nem revisou, inclusive o retorno de uma ferramenta (função que o agente aciona, como busca, leitura de e-mail ou consulta a sistema).

A Regra dos Dois transforma a tríade em critério de aprovação: um fluxo que age sem supervisão reúne no máximo dois dos três fatores. Quando o terceiro aparece, entra junto uma pessoa que aprova a ação antes de ela sair, ou o fluxo é partido em dois agentes que não compartilham permissões. A terceira perna cobre comunicar e também agir (gravar, pagar, apagar, publicar), porque toda ação que persiste depois da conversa pode carregar o dado ou o dano.

O OWASP Top 10 para aplicações com LLM, edição 2025 anunciada em novembro de 2024, dá nome aos riscos que cada fator abre. A injeção de prompt (LLM01, texto escondido que o modelo obedece como se fosse ordem) é o tema do próximo capítulo. Vazamento de informação sensível (LLM02) e agência excessiva (LLM06, agente com mais permissão do que a tarefa pede) completam o quadro. Desde 2024 mudou o alcance: conectores MCP (protocolo que liga a IA a sistemas da empresa, como uma tomada universal) dão ao agente novos sistemas para ler e novos caminhos para agir, e cada conector ligado pode somar um fator.

Nenhuma instrução no prompt resolve a injeção. As medições de 2025, detalhadas no próximo capítulo, mostram quedas grandes na taxa de ataque com mitigações e nenhuma chegando a zero, por isso a aprovação se apoia em controles de arquitetura.

Os fornecedores entregam peças do controle, e a classificação continua sendo trabalho da empresa. Entre eles muda o lugar da confirmação humana e do corte de permissões, que fica no recurso da plataforma ou no código que chama o modelo.

Segregar agentes e cortar permissões são decisões de arquitetura e continuam valendo depois da troca de fornecedor ou da saída de quem aprovou. Aprovação humana é decisão operacional: depende de a tela mostrar o efeito concreto (destinatário, valor, arquivo) e de o volume caber no expediente de quem aprova. Numa fila de centenas de itens por dia, a revisão vira carimbo em poucas semanas e a terceira perna reabre sem que ninguém tenha revogado nada.

Permissão mínima (least privilege) é dar ao agente a chave só da sala onde ele trabalha: credencial exclusiva do fluxo, leitura onde a tarefa só lê e lista fechada de destinos onde a tarefa envia. Revisão de logs (o registro de cada chamada de ferramenta, com entrada e saída) age depois do fato: mostra o que aconteceu e alimenta a próxima classificação. Quando alguém propuser resolver com uma frase no prompt mandando ignorar ordens de anexos, registre em ata que a mitigação não tem garantia e peça o controle de arquitetura correspondente.

Faça hoje

Escolha os três fluxos de IA de maior alcance que já rodam na empresa, escreva uma linha por fluxo com entrada, alcance e saída e rode o prompt de classificação acima. Em 30 minutos você tem a classe de cada um, e o sinal de acerto é o dono do fluxo confirmar os fatores marcados sem corrigir nenhum. Todo fluxo que sair na classe 3 entra na pauta do próximo comitê com a proposta de qual fator sai do desenho.