As ferramentas do agente, e por que as chaves não ficam com ele

Camada funcional

As ferramentas que o agente usa — mexer no conhecimento, pedir uma credencial, operar o navegador, delegar a outro agente, publicar uma skill, chamar um serviço conectado — chegam a ele como um catálogo. Parte vem da própria plataforma; parte vem dos servidores que a organização conectou.

O que decide o que aparece nesse catálogo são as capacidades ligadas naquele agente. Ferramenta desligada não fica escondida atrás de uma checagem: ela simplesmente não existe para ele.

O ponto que sustenta a segurança inteira

O agente tem poder total dentro da própria máquina. Ele abre terminal, lê qualquer arquivo, roda qualquer comando. Qualquer segredo guardado lá dentro estaria ao alcance dele.

Por isso o desenho é o oposto do intuitivo: nenhuma chave da plataforma mora na máquina do agente. Quando ele usa uma ferramenta que precisa falar com o sistema, o pedido sai da máquina e é executado do lado de fora, com um passe que identifica aquela execução. Quem decide o alcance é o passe, não o pedido: a organização, o agente e a conversa vêm dele. Um pedido que peça outra coisa não é atendido — não porque seja recusado, mas porque não há como expressá-lo.

O caso do cofre é o exemplo mais claro do desenho todo: o agente pede que uma credencial seja preenchida num formulário, e quem resolve a referência é o lado de fora. O que ele recebe de volta é a confirmação de que o campo foi preenchido — o valor não entra no que o modelo lê nem no que ele escreve: não aparece na conversa, nas capturas de tela nem no registro da execução.

Vale ser preciso sobre o alcance dessa garantia: ela é sobre o canal, e não sobre a máquina. O navegador roda no mesmo computador em que o agente tem poder total, então o desenho não torna o valor fisicamente inalcançável ali dentro — ele o mantém fora de tudo que o agente lê, produz e guarda.

O limite, dito com todas as letras

A separação entre organizações é garantida pelo passe, e não depende de o agente se comportar.

O que ainda não é uma barreira dura, e está registrado como acompanhamento, é a identidade de quem está conversando dentro da mesma organização: hoje ela é carregada como contexto, não fechada no passe. Uma máquina inteiramente comprometida poderia agir sob a identidade de um colega da mesma organização em serviços conectados. Fechar isso significa gravar essa identidade no próprio passe.

A conclusão que vale, e que não muda: nenhuma chave de serviço, do cofre ou de integração fica dentro da máquina do agente.