O que significa identidade na era da IA agêntica: insights do Think 2026

Quer você tenha se juntado a nós em Boston ou esteja se atualizando de longe, aqui estão as maiores conclusões para líderes de identidade e segurança saídas do Think.

• A IA agêntica é um tipo fundamentalmente novo de sistema. Ao contrário da IA tradicional, que espera por prompts, os agentes agem por conta própria. Eles tomam decisões, executam tarefas e chamam ferramentas em todos os sistemas com o mínimo de supervisão humana. Uma única solicitação de usuário pode se transformar em dezenas de ações de agentes em segundos.

• O potencial de vantagem é enorme. De acordo com o IBM Institute for Business Value, 53% dos executivos esperam que a IA transforme os modelos de negócios em seus setores até 2030. As organizações que priorizam a IA estão projetando ganhos de produtividade de 70%, tempos de ciclo 74% mais rápidos e entrega de projetos 67% mais rápida.

• Mas os sistemas tradicionais de IAM não foram criados para isso — na verdade, 92% das organizações não estão confiantes de que suas ferramentas de IAM legadas possam gerenciar os riscos associados a NHIs e agentes de IA¹. Esses sistemas foram projetados para seres humanos que fazem login, realizam sessões e são avaliados trimestralmente, não para agentes que agem de forma autônoma, contínua e na velocidade da máquina.

• Ao mesmo tempo, as identidades não humanas estão explodindo. Atualmente, existem de 45 a 90 NHIs para cada identidade humana em ambientes empresariais², e a proporção cresce a cada nova implementação de agentes. A maioria das organizações não tem visibilidade real sobre quais agentes estão em execução, quem os implementou ou o que estão autorizados a fazer.

• É um problema organizacional quase tanto quanto tecnológico. As NHIs são, em grande parte, criadas e gerenciadas por equipes de desenvolvimento, enquanto as equipes de segurança e os CISOs ainda se concentram em seres humanos. Em uma pesquisa recente da IBM com 1.100 profissionais do setor, quase três quartos disseram que suas equipes de plataformas e desenvolvimento não trabalham bem com suas equipes de segurança. Isso significa que a explosão da IA agêntica está acontecendo em uma divisão interna que ainda não foi eliminada.

• Resposta da IBM: controle em cada ação. Nesta semana, a IBM apresentou o Vault 2.0, que moderniza a segurança baseada em identidade em escala para a era dos agentes, e uma solução unificada do Verify e Vault, a resposta de ponta a ponta da IBM para proteger tanto seres humanos quanto NHIs em toda a empresa.

O enquadramento da IBM no Think 2026 foi consistente: você precisa de identidade, acesso e políticas aplicados continuamente em tempo de execução. Isso envolve substituir a confiança estática pela verificação contínua, para que você possa proteger seu ambiente hoje e escalar com confiança o que está por vir.

Para realizar isso, a IBM recomenda cinco imperativos para qualquer organização que implemente agentes em produção. 

O lançamento do Vault Enterprise 2.0 no Think 2026 é um grande passo para as organizações que buscam modernizar sua segurança baseada em identidade em escala.

As principais atualizações incluem:

• Eliminação de credenciais de longa duração por meio da federação de identidade de cargas de trabalho
• Automatização do gerenciamento do ciclo de vida de credenciais
• Habilitação da criptografia de alto desempenho para cargas de trabalho emergentes e de grande escala

Todas essas atualizações mapeiam diretamente os imperativos de segurança de tempo de execução compartilhados acima. A ausência de credenciais de longa duração implica a ausência de privilégios permanentes; e o gerenciamento automatizado do ciclo de vida é o que faz o acesso efêmero e just-in-time funcionar na velocidade de uma máquina.

O Vault 2.0 também se alinha à abordagem mais ampla da IBM para identidade na era agêntica (em que o IBM Verify lida com identidades humanas, enquanto o Vault lida com identidades não humanas), proporcionando às equipes de segurança uma visão única e coordenada de ambas.

Para as organizações que estão começando a implementar sistemas agênticos, o Vault 2.0 é a camada de base necessária para fortalecer a segurança baseada em identidade.

O exemplo mais concreto do modelo de segurança em tempo de execução da IBM veio na sessão de destaque do Think, “Operationalize Agentic AI Runtime Security”, liderada por Bob Kalka, Líder Global de Segurança da IBM, e Tyler Lynch, CTO de Campo da IBM.

Kalka e Lynch explicaram como ancorar cada ação do agente à identidade verificada no tempo de execução e, em seguida, demonstraram ao vivo.

Depois, receberam o cliente Shailesh Shenoy, Diretor Assistente de Tecnologia da Informação do Albert Einstein College of Medicine, para falar sobre sua experiência usando as soluções em um ambiente altamente regulamentado.

Lynch mostrou uma demonstração de um aplicativo bancário com um agente agindo em nome de um usuário conectado, mas somente após o usuário consentir explicitamente com a delegação por meio do IBM Verify.

O token de acesso tinha um escopo limitado e estava vinculado à sessão. No meio da transação, o sistema iniciou a autenticação fora de banda via CIBA, o padrão OAuth 2 para verificação de backchannel iniciada pelo cliente, o que Lynch descreveu como "chaves de acesso para agentes".

Nos bastidores, o HashiCorp Vault emitiu segredos just-in-time, e a própria conexão com o banco de dados foi definida para as próprias linhas do usuário. Mesmo que o agente tivesse sido injetado pelo prompt, ele não poderia ter acessado os dados de outro usuário.

Shenoy, então, ofereceu uma perspectiva baseada na implementação no mundo real. Ele descreveu sua instituição (uma escola de medicina de pesquisa no Bronx com mais de US$ 250 milhões em financiamento de pesquisa) como “à beira do perigo”.

A identidade humana é bem gerenciada. A NHI é a nova fronteira, e os riscos são altos. Um agente de IA que não é verificado em um laboratório de pesquisa pode silenciosamente se tornar um agente de IA que toma decisões sobre dados de pacientes, sem que ninguém consiga rastrear como ele chegou lá.

“Os agentes de IA são como funcionários, como assistentes de pesquisa”, disse ele. "Deve haver uma responsabilidade que chegue ao chefe do laboratório, ao chefe do negócio. Não temos isso hoje".

Foi por isso que ele começou a trabalhar com a IBM. Atualmente, O Albert Einstein usa o IBM Verify e o HashiCorp Vault juntos (Verify para o lado humano, Vault para o lado das aplicações) para colocar as NHIs sob controle coordenado antes que a IA agêntica se expanda ainda mais em toda a instituição.

Seu conselho a outros líderes foi direto: "Isso é algo com o qual temos que lidar, sem enfiar a cabeça na areia. Não vou esperar que alguém me pergunte. Não vou esperar por um regulador. Essa é a higiene adequada e é o que precisamos fazer."

Para conhecer a fundo, assista ao webinar sob demanda de Bob Kalka e Tyler Lynch: “Agentic IAM in Practice: Enforcing Least Privilege and Auditability for AI Agents”.