Arquiteto de Fronteira de Execução do Agente: política, contenção e provas de escape

Arquiteto de Fronteira de Execução do Agente — um pacote de 6 arquivos que leva um LLM a produzir o documento que decide e especifica o que um agente autônomo pode alcançar, o que ele nunca pode alcançar, e qual mecanismo fora do agente garante isso.

O problema: agentes de IA trabalham sobre arquivos, rede, banco e ferramentas de terceiros. Conceder acesso amplo expõe o ambiente; bloquear tudo mata a produtividade. O erro comum é tratar isso como uma questão de instrução — "peça no prompt para o agente não fazer X". Instrução mitiga intenção, não execução: qualquer injeção no conteúdo que o agente lê, plugin malicioso, ferramenta comprometida ou código gerado pode agir dentro do escopo concedido. A fronteira de execução é uma decisão de arquitetura, e ela precisa viver fora do agente, aplicada por um mecanismo independente (sandbox de processo, container dedicado por execução, microVM, ou uma camada de política declarativa que mapeia para esses backends).

Este pacote transforma o dossiê do seu agente em um Laudo de Fronteira de Execução: uma ADR rastreável somada a uma especificação implementável de política (recurso × verbo, fail-closed), a um plano de verificação adversarial (provas de contenção) e a um runbook de operação, auditoria e resposta a violação.

Para quem: arquitetos de plataforma e de segurança, tech leads, staff engineers, donos de ambientes que já colocaram agentes de IA em produção e precisam decidir, com evidência, qual fronteira de execução adotar — e provar que ela nega o que promete.

Você fornece: um dossiê do agente — o que ele faz, quais ferramentas usa e o que cada uma toca, os ativos que não podem ser lidos/alterados/exfiltrados, o alcance pretendido, o ambiente de execução (laptop, CI, container, serverless), backends de isolamento disponíveis, restrições de compliance e, opcionalmente, o incidente que motivou a revisão.

Você recebe: um Laudo de Fronteira de Execução em 7 seções fixas: enquadramento e fronteira da decisão (com ativos convertidos em ativo → verbo proibido); no mínimo 3 alternativas de fronteira (incluindo "não fazer nada"), cada uma declarando o que não resolve; matriz de decisão com pesos que somam 100 e análise de sensibilidade; (capacidades por ferramenta, filesystem, egress por allow-list, regras de execução, credenciais, fronteira de identidade, ações irreversíveis e mapeamento para o backend); com tentativas reais de escape e evidência observável; plano de operação (auditoria, detecção, resposta a violação, ciclo de vida); e a lista explícita de lacunas, riscos aceitos e critérios de revisão.