Agentes de IA agora podem ter identidade própria, criptográfica e auditável dentro da infraestrutura do Google Cloud — não mais uma conta de serviço genérica compartilhada entre dezenas de automações. Em 22 de agosto, o Google Cloud tornou geralmente disponível (GA) o Agent Identity auth manager e as APIs de Agent Identity dentro do IAM, seu serviço de controle de acesso. A mudança chega na mesma semana em que uma pesquisa com 235 líderes de segurança de grandes empresas mostrou que 92% delas não sabem exatamente quantos agentes de IA têm rodando dentro de casa.
O que mudou
O Agent Identity dá a cada agente uma identidade baseada no padrão aberto SPIFFE — certificado X.509 e identificador único vinculados ao ciclo de vida daquele agente, e não a uma conta de serviço genérica reaproveitada por várias automações, como é comum hoje. Com essa identidade, o agente se autentica sozinho em servidores MCP, recursos de nuvem e outros agentes — em nome próprio ou, via delegação OAuth, em nome de um usuário final. O Agent Identity auth manager funciona como cofre central de credenciais, já integrado ao IAM, ao Principal Access Boundary e ao VPC Service Controls (essa integração específica virou GA em 14 de agosto). Na prática: o log de auditoria passa a mostrar exatamente qual agente fez o quê, quando e com que permissão — não mais "a conta de serviço X fez uma chamada", e sim "o agente Y, com escopo Z, acessou o recurso W".
Por que isso importa
O momento não é coincidência. O relatório "State of AI Agent Security 2026", da Gravitee — 235 líderes de segurança de grandes empresas, citado pela VentureBeat — mostra o tamanho do problema que essa infraestrutura tenta resolver: 88% das organizações reportaram incidentes de segurança confirmados ou suspeitos com agentes de IA no último ano; 71% afirmam que seus agentes acessam sistemas centrais como ERP, CRM e financeiro, mas só 16% conseguem governar esse acesso de forma eficaz; e 86% não aplicam política de controle específica para identidades de IA. A adoção correu na frente da capacidade de auditá-la. Ferramentas como o Agent Identity não resolvem governança sozinhas — mas tiram uma desculpa técnica real da mesa: já dá para rastrear um agente com o mesmo rigor de um funcionário ou um serviço.
O impacto para o Brasil
Empresas brasileiras vêm adotando agentes de IA em ritmo acelerado — em alguns setores, superando médias globais, como já mostramos aqui. O problema é que a mesma velocidade que gera resultado também gera exposição: um agente com credencial compartilhada, sem escopo definido e sem trilha de auditoria clara é um risco de segurança e compliance (LGPD incluída) tão real quanto qualquer sistema legado mal configurado — só que motivado por decisão autônoma, não por bug humano. Times de TI e segurança que já rodam workloads no Google Cloud podem, a partir de agora, aposentar a conta de serviço genérica por agente e migrar para identidades individuais e auditáveis — sem esperar um incidente para justificar o investimento.
Leitura da Entercast
Este é o terceiro capítulo de um enredo que vimos acompanhando aqui: o Sinch mostrou que o Brasil lidera adoção de agentes mas também lidera recuos por falha de governança; a Binance mostrou que builders sérios preferem colocar o controle na arquitetura, não na auditoria a posteriori; e agora a própria infraestrutura de nuvem formaliza isso como produto — identidade, escopo e trilha de auditoria por agente, não por sistema. Para quem lidera adoção de IA na própria empresa, a lição prática continua a mesma, só que agora com ferramenta disponível para aplicá-la: antes de escalar o número de agentes em produção, garanta que cada um tem identidade própria, permissão mínima necessária e log auditável — porque, segundo a Gravitee, 92% das empresas hoje não conseguem responder com precisão à pergunta mais básica de todas: quantos agentes de IA você tem rodando agora?