Em 29 de setembro de 2026, o National Cybersecurity Center of Excellence (NCCoE) publicou a síntese dos comentários que recebeu sobre identidade e autorização de software e de agentes de IA. O NCCoE é o centro nacional de excelência em cibersegurança do NIST, o instituto de padrões e tecnologia dos Estados Unidos. O anúncio da síntese informou que DevSecOps será o primeiro caso de implementação, para demonstrar como identificar, autenticar e autorizar agentes no ciclo de desenvolvimento de software. O material organiza problemas e caminhos de teste, e permanece em formação.
A síntese reúne contribuições e descreve um plano de demonstração. Uma empresa que esperar pelo documento final adia por tempo indeterminado o controle dos agentes que já operam dentro dela.
O que a síntese afirma hoje
A consulta recebeu o retorno de mais de seiscentos comentaristas da indústria, do governo e da academia, segundo o anúncio. O documento de síntese registra que a maioria esmagadora deles favoreceu uma abordagem evolutiva, construída sobre os padrões e protocolos já existentes. Com base nesse retorno, o projeto vai testar uma hipótese: padrões atuais, com extensões, melhorias e perfis, podem sustentar a gestão de identidade e autorização de agentes. As lacunas críticas que o trabalho encontrar voltam como retorno às comunidades de padrões.
A síntese também descreve desafios levantados nos comentários. Entre eles estão a escala do número de identidades e os agentes efêmeros, criados para tarefas curtas. A lista segue com a delegação em várias etapas, entre pessoas e agentes, as fronteiras entre organizações e o risco de perder a ligação entre uma ação e o seu responsável.
A escolha de DevSecOps como primeiro caso tem motivo declarado. Segundo o anúncio, a decisão veio do volume de comentários sobre a adoção precoce de agentes no desenvolvimento de software. Entre os modelos de implantação, a síntese cita como exemplo os agentes mantidos dentro da empresa que escrevem, auditam e implantam código. Na conclusão, ela informa que o projeto vai demonstrar como implantar e proteger agentes no ciclo de desenvolvimento de software.
A credencial emprestada apaga o autor
Um problema concreto aparece antes de qualquer norma. Um time coloca o agente em produção com a conta pessoal de um analista, porque essa conta já reúne os acessos necessários. A automação funciona no primeiro dia.
O custo chega depois. O registro de auditoria passa a mostrar o nome do analista em ações que ele nunca executou. Uma investigação precisa separar o que a pessoa fez do que o agente fez, e o log perdeu essa informação na origem. A revogação também fica presa: desligar o agente significa mexer no acesso de alguém que continua trabalhando.
A permissão sem prazo sobrevive à tarefa
O segundo problema é o privilégio amplo concedido para vencer um prazo. O agente recebe escrita em um repositório inteiro, ou leitura em uma base completa, porque o recorte fino exigiria mais tempo de desenho.
A tarefa termina e o privilégio continua. A necessidade que justificou a concessão desapareceu, e a credencial do agente segue disponível para qualquer pedido que a use. Esse resíduo é o que transforma um piloto esquecido em porta de entrada.
Leitura NowCy: quatro respostas e um rastro
Um agente entra no desenho de autorização da NowCy quando a organização responde quatro perguntas sobre ele, por escrito:
- Quem autorizou a criação do agente, com nome e data.
- Qual tarefa ele pode executar, descrita em termos de processo.
- Quais recursos ele alcança, no recorte mínimo que a tarefa exige.
- Até quando a autorização vale, com data de expiração e dono da renovação.
O rastro fecha o ciclo. Registre a execução e a decisão que a permitiu no mesmo lugar. Uma ação consultada seis meses depois precisa mostrar o agente que agiu, a tarefa que o justificava e a autorização em vigor naquele dia.
O inventário começa antes do consenso
O NCCoE informa que trabalha sem prazo fixo de comentários. O documento de síntese prevê, como próximo passo, um rascunho de descrição de projeto aberto a comentários sobre escopo, casos de uso, arquitetura e padrões. Nada nesse quadro impede o primeiro trabalho interno.
Liste os agentes ativos hoje. Para cada um, registre o dono técnico, o dono de negócio, a credencial em uso, o alcance de escrita e a data de expiração. Defina também quem aprova um agente novo e qual evidência essa aprovação exige.
Fontes e limites
A apuração vem da atualização oficial sobre a síntese de comentários, publicada em 29 de setembro de 2026. Ela vem também do documento de síntese no centro de recursos do projeto, consultado em 19 de outubro de 2026.
O anúncio afirma a divulgação da síntese, o retorno de mais de seiscentos comentaristas da indústria, do governo e da academia e a escolha de DevSecOps como primeiro caso de implementação. O documento de síntese registra a maioria favorável à abordagem evolutiva, a hipótese que o projeto vai testar e os desafios levantados nos comentários. Nenhum dos dois apresenta padrão final, arquitetura aprovada nem prazo de conclusão. A ficha de quatro campos e o inventário descritos acima são leitura da NowCy sobre o material, com o estado de proposta que isso implica.