A Permissão Tudo-ou-Nada Está Morrendo pelas Duas Pontas

Duas publicações de agosto de 2026 miram o mesmo objeto: a permissão que um agente carrega para dentro de uma tarefa. Do lado da pesquisa, Tripathi, Kumar, Kumar e Gadhe publicaram uma álgebra de políticas para execução agêntica com preservação de confiança (arXiv 2608.16402), capaz de compor e restringir as permissões de um agente enquanto a tarefa roda. O sistema intervém em 94,8% dos eventos que violam política, sustenta uma taxa de conclusão de tarefas de 86,9% e reporta 98,6% de completude de auditoria. Do lado de produção, a Cloudflare detalhou seu consentimento OAuth por tarefa: o desenvolvedor marca cada escopo como obrigatório ou opcional, o usuário desmarca os opcionais na tela de consentimento, e o token emitido carrega apenas o que foi concedido. Mais de 1 milhão de autorizações passaram pelo fluxo desde o lançamento em junho.

Argumentamos em um ensaio anterior que o mercado de governança de agentes entregava superfícies de controle sem mecanismo de execução: dashboards, documentos de política e prompts de consentimento sem maquinaria por baixo capaz de interromper ou encolher uma concessão depois que a execução começa. Aquela afirmação precisa de uma correção, e este texto é a correção. As primitivas de enforcement chegaram, uma como formalismo com números publicados, outra como controle de produção com números de adoção.

A concessão vira um objeto operável

A contribuição da álgebra de políticas é um conjunto de operadores de composição que trata a concessão de permissão como objeto matemático: junções, interseções, estreitamento de orçamento, herança de aprovação e acumulação de evidência. Cada operador recebe concessões como entrada e produz uma concessão como saída, o que significa que a permissão que o agente segura no passo quarenta de uma tarefa pode ser comprovadamente mais estreita do que a que ele segurava no passo um.

O estreitamento de orçamento é o operador que merece pausa. Uma concessão estática responde a uma pergunta: este agente pode chamar esta ferramenta? Um orçamento responde a uma pergunta melhor: quanto deste recurso esta tarefa específica justifica, e o que acontece com o restante à medida que a tarefa o consome? A concessão encolhe conforme é gasta. A herança de aprovação cuida do caso de delegação: quando um agente repassa uma subtarefa a outro agente, o filho recebe menos do que a concessão integral do pai. As restrições se propagam por chamadas multiagente, e a restrição mais estreita da cadeia viaja junto com o trabalho.

Os números da avaliação pedem leitura sóbria. Intervir em 94,8% dos eventos violadores significa que aproximadamente uma violação em vinte ainda passa. Uma taxa de conclusão de 86,9% significa que cerca de 13% das tarefas deixam de concluir sob o sistema de restrições. Nenhum dos dois números derruba a abordagem. Eles formam uma tabela de preços honesta do enforcement no meio da tarefa, e uma tabela de preços é o que permite a uma organização de engenharia decidir em vez de chutar.

O número de 98,6% de completude de auditoria talvez seja o que mais importa em ambientes regulados. A acumulação de evidência é operador de primeira classe na álgebra, então a trilha de auditoria é produto da execução, e deixa de ser um log parafusado depois. Quando uma concessão estreitou, o registro mostra qual operador estreitou e com base em qual evidência.

A tela de consentimento vira negociação

O lançamento da Cloudflare ataca o mesmo problema pelo lado do token. O padrão OAuth anterior era binário: a aplicação pede um conjunto de escopos, e o usuário aprova o conjunto inteiro ou vai embora. A justificativa da própria Cloudflare nomeia o caso dos agentes diretamente: “Um servidor MCP pode solicitar um conjunto amplo de permissões… a maioria dos usuários não gostaria que um agente tivesse tanto acesso.”

O mecanismo é pequeno, e essa é a virtude. O desenvolvedor divide os escopos solicitados em obrigatórios e opcionais. Na hora do consentimento, o usuário desmarca os escopos opcionais que a tarefa em questão dispensa. O token cunhado carrega apenas o subconjunto concedido, então todo sistema a jusante que valida o token aplica a seleção do usuário sem saber que a negociação aconteceu. Sem motor de políticas, sem sidecar, sem dependência de framework de agentes. O enforcement mora onde o enforcement de OAuth já morava.

A adoção é o que separa isso de uma proposta. Mais de 1 milhão de autorizações passaram pelo fluxo desde junho. Esse número diz que usuários de fato operam uma tela de consentimento parcial quando ela existe, e essa era uma hipótese nunca testada por trás das recomendações de menor privilégio para agentes, incluindo as nossas.

O que isso corrige no nosso arco de permissões

Três textos anteriores nossos montaram o problema que esses lançamentos respondem. Permissões por ferramenta são o bug argumentou que allowlists com escopo de ferramenta são incapazes de expressar o que a tarefa de fato precisa, porque a unidade perigosa é a combinação tarefa-ferramenta, e a ferramenta isolada esconde isso. Teatro de aprovação argumentou que os prompts de consentimento viraram ritual: o humano aprova uma concessão ampla uma única vez, no momento em que tem a menor quantidade de informação sobre o que o agente fará com ela.

As duas críticas seguem de pé. O que mudou foi que os remédios agora existem como artefatos, e deixaram de ser recomendações. A álgebra dá à concessão por tarefa uma semântica formal e enforcement medido. A Cloudflare dá à concessão parcial um formato de token de produção e uma interface de consentimento que um milhão de autorizações já exercitaram. A fase de diagnóstico desse argumento terminou. A fase de implementação começou.

Os dois artefatos também se compõem. O mecanismo da Cloudflare decide o que entra no token no momento do consentimento. A álgebra decide como a concessão evolui depois: estreitando conforme orçamentos esgotam, apertando conforme subtarefas delegam, acumulando evidência conforme a tarefa roda. Um governa a admissão, o outro governa a execução. Um modelo de permissão que faz apenas o primeiro ainda deixa o agente com excesso de acesso durante a maior parte da vida da tarefa, porque o escopo necessário no momento mais largo fica concedido pela duração inteira.

Os números desconfortáveis são os úteis

Uma taxa de conclusão de 86,9% sob enforcement vai soar inaceitável para um time medido por vazão. Essa reação merece interrogatório antes de obediência. Entre as tarefas que falham sob restrição estão as que tentaram algo que a política proíbe. Parte das falhas revela bugs de política, e a trilha de auditoria existe para encontrá-los. Outra parte são os eventos que o sistema existe para impedir.

A taxa de intervenção de 94,8% corta na outra direção. Um evento violador em vinte passando significa que esta camada jamais pode ser a única. Concessões por tarefa vivem dentro do mesmo stack de defesa em profundidade que sandboxing e controles de camada de dados. Tratar qualquer número isolado desse espaço como corte de aprovação perde a função deles: permitir comparar desenhos de enforcement com evidência, coisa impossível quando a alternativa era prosa.

Faça isso agora

Escolha um agente em produção e escreva a concessão que ele segura hoje, depois responda duas perguntas contra ela. Primeira: quais dos escopos dele a tarefa mais comum de fato exercita? Tudo que fica sem uso é candidato à marcação opcional no estilo da Cloudflare, com ou sem o provedor oferecendo o fluxo ainda. Segunda: em que ponto no meio da tarefa a concessão poderia estreitar sem quebrar a tarefa? Se a resposta for “nunca, a concessão é um bloco estático único”, você agora tem uma referência medida do que a alternativa custa: uma taxa de conclusão de 86,9% sob enforcement, em troca de intervenção em 94,8% das violações e uma trilha de auditoria 98,6% completa. Leve essa troca para a próxima revisão de arquitetura como decisão, porque ela deixou de ser pergunta de pesquisa.

Fontes

Tripathi, Kumar, Kumar, Gadhe (arXiv). “A Policy Algebra for Trust-Preserving Agentic AI Execution.” Agosto de 2026.
Cloudflare. “From All-or-Nothing to Task-Based OAuth Consent.” Agosto de 2026.

A Victorino ajuda organizações de engenharia a desenhar modelos de permissão por tarefa para frotas de agentes, do fluxo de consentimento ao enforcement no meio da execução: contato@victorino.com.br | www.victorino.com.br