Google ADK e agentes de IA zero trust: checklist de segurança para produção

Fonte: https://developers.googleblog.com/build-zero-trust-ai-agents-with-googles-agent-development-kit/

Resumo prático: agentes em produção precisam de barreiras rígidas

Prompt de sistema não é controle de segurança. Ele orienta um modelo probabilístico, mas pode falhar diante de injeção de prompt, mudanças de modelo ou instruções ambíguas. A proposta do Google é tirar a proteção crítica do texto do prompt e colocá-la na arquitetura. O desenho tem três camadas: identidade criptográfica para cada escrita importante, execução isolada para código gerado e gateways determinísticos para revisar entradas, saídas e chamadas de ferramentas.

Por que segurança de agentes virou assunto de busca

Agentes de IA já aparecem em suporte, análise de dados, automação de conteúdo e operações de desenvolvimento. A dúvida deixou de ser apenas se a resposta é boa. A pergunta agora é o que acontece quando o agente recebe uma instrução maliciosa. No exemplo do Google, um agente de reembolso calcula valores e grava um lançamento. Em um ataque, o usuário pede para ignorar regras, devolver um valor enorme e imprimir variáveis de ambiente. Se o aplicativo confia no modelo, o atacante chega perto do banco e do runtime.

Camada um: assine cada escrita sensível

Não use a mesma conexão ampla de banco para todos os trabalhadores. Cada agente deve assinar payloads que mudam estado com sua própria chave, e a API ou guarda de ingresso deve verificar a assinatura antes de gravar. Isso cria não repúdio: dá para saber qual agente aprovou o registro, qual era o conteúdo exato e se a linha foi adulterada depois. Pagamentos, permissões, moderação e publicação automática são bons candidatos para essa regra.

Camada dois: isole código gerado

Muitos agentes criam pequenos scripts para cálculos, parsing ou limpeza. Executar esse código com privilégios normais do servidor é arriscado. A orientação do Google menciona isolamento no estilo gVisor, rede desativada, capacidades removidas, limites de memória e timeouts curtos. Mesmo em equipes pequenas, o mínimo é separar o runner, remover segredos de produção, bloquear saída de rede, registrar entrada e saída e tratar todo código gerado como não confiável.

Camada três: controle prompts, respostas e ferramentas

Um gateway de política pode bloquear frases de jailbreak, detectar vazamento de chaves, impor limites de reembolso, validar consultas e pedir revisão humana em ações perigosas. Ele deve ser menos criativo que o modelo e mais previsível. Ao avaliar ferramentas, pergunte se há identidades separadas por fluxo, logs imutáveis, sandbox, limites administrativos e testes de prompt injection. Compare utilitários no diretório de software da BTTC e leia mais no blog da BTTC.

Perguntas frequentes

O Google ADK é obrigatório?

Não. O ADK é o exemplo, mas identidade, sandbox, gateways e auditoria servem para qualquer framework de agentes.

Um prompt melhor resolve prompt injection?

Não. Boas instruções ajudam, porém não substituem controles externos obrigatórios.

Qual é o primeiro passo para uma equipe pequena?

Remova credenciais amplas do runtime do agente e adicione gateway e logs para ações de alto risco.

Conclusão

Agentes de IA zero trust serão parte normal da produção. Dê ao agente uma identidade estreita, isole sua execução, verifique chamadas de ferramentas e guarde evidências para auditoria.