Programas de identidade foram projetados em torno de funcionários, contratados e serviços de longa duração com funções previsíveis. Agentes de IA quebram esse modelo. Eles negociam autoridade temporária em nome das pessoas, atravessam várias ferramentas e concluem o trabalho em minutos — mas deixam permissões permanentes, segredos compartilhados e trilhas de auditoria incompletas. O risco prático não é teórico: agentes ampliam a superfície de ataque, complicam as atestações de conformidade e transformam revisões trimestrais em um jogo constante de recuperação. A oportunidade é igualmente clara: se você puder vincular as ações de um agente a uma identidade de primeira classe com credenciais com escopo e expiração e verificações contínuas de risco, poderá aumentar a segurança enquanto reduz o esforço operacional e o volume de tickets.
A tese da Oak é tornar os agentes seguros por design com um plano de controle unificado que trata cada execução como um principal, não um efeito colateral de uma conta humana ou de serviço. Mecânicas centrais incluem emissão de identidade por execução, concessões de menor privilégio baseadas em intenção declarada e uso real, revogação automática quando o comportamento diverge, e um gráfico auditável que vincula pessoas, agentes, dados e ferramentas. Isso se alinha com o IAM baseado em risco: gatilhos como localizações anômalas, consultas de dados incomuns ou frequência de ações sensíveis tornam-se entradas de política, não alertas pós-fato. Se a infraestrutura for robusta, as equipes de segurança obtêm linhagem e privilégio mínimo comprovável, enquanto os operadores recebem menos aprovações e ciclos mais rápidos.
Para compradores, a lente de avaliação é pragmática: cobertura de integração, expressividade da política e adequação operacional. Mapeie os principais fluxos de trabalho dos agentes (triagem de tickets, atualizações de CRM, revisão de código, extração de dados) e inventarie os conectores necessários (Okta/Entra, principais SaaS, APIs internas, gerenciadores de segredos, SIEM/EDR). Exija política como código com simulação e detecção de deriva, não controles apenas por assistentes. Insista em resultados mensuráveis: redução de direitos permanentes, tempo médio para revogar, completude da auditoria e clareza na resposta a incidentes. Finalmente, teste como o modelo escala sob concorrência e falhas — especialmente latência na emissão de credenciais, propagação de revogação e resiliência quando provedores de identidade upstream ou APIs SaaS se degradam.