O agente não precisa invadir nada. Basta que o repositório esteja aberto

Repositórios corporativos acumulam acessos amplos concedidos por conveniência ao longo de anos. Cada projeto que teve pressa, cada pasta que precisou ser compartilhada “só por essa semana”, deixou uma permissão que ninguém revogou, porque nenhuma pessoa abria aquilo por acaso.

O filtro que protegia essas pastas era social, não técnico: ninguém abre o diretório da diretoria porque sabe que não deve. Um agente não tem esse filtro. Ele recupera tudo o que a permissão permite, com a mesma naturalidade com que recupera o manual de procedimentos.

Por isso o risco muda de natureza quando o agente entra. O que era permissão ociosa vira superfície de exposição ativa, e a resposta errada do agente para a pergunta certa de um funcionário curioso já configura o vazamento.

A classificação do repositório precisa acontecer antes da integração, não depois do primeiro incidente. Três categorias resolvem a maior parte dos casos: o que pode alimentar resposta livremente, o que exige permissão específica por área e o que não entra em hipótese alguma.

A terceira categoria é a que costuma ser esquecida. Contratos com cláusula de confidencialidade, dados pessoais sensíveis e informação privilegiada não precisam de permissão especial no agente: precisam de exclusão do escopo, por mais úteis que pareçam.

Conectar primeiro e filtrar depois inverte a ordem do risco. Entre a conexão e a classificação há uma janela em que todo o acervo está exposto a qualquer pergunta, e basta uma pessoa fazer a pergunta certa nessa janela para o dano acontecer.

O desenho correto é o agente responder com base no que aquele usuário específico tem direito de ver. A pergunta feita pelo estagiário e a mesma pergunta feita pelo diretor devem poder ter respostas diferentes, porque os dois têm permissões diferentes.

Sistema que responde igual para todos transforma qualquer pergunta em canal de exfiltração legítima. Não há ataque, não há fraude, não há log de invasão: há apenas um funcionário perguntando e um sistema respondendo com o que pertence a outra área.

Implementar a herança de permissão exige que o agente consulte o controle de acesso da fonte a cada resposta, e não uma cópia estática feita na implantação. Permissão muda, gente muda de área, e o agente precisa refletir o acesso de hoje.

A documentação do fornecedor descreve o comportamento pretendido. O comportamento real se conhece com teste: pedir ao sistema, autenticado com o perfil de um usuário comum, informação que esse usuário não deveria alcançar, e registrar o que volta.

Esse teste adversarial simples — tentativa deliberada de obter do sistema o que o perfil não autoriza — deve acontecer antes que um funcionário faça a mesma pergunta por acaso ou por curiosidade. O custo do teste é uma tarde; o custo da descoberta acidental é um incidente.

Repetir o teste a cada mudança de escopo, de modelo ou de estrutura de permissões fecha o ciclo. Segmentação feita uma vez e nunca testada de novo é documentação de intenção, não controle.