OWASP ACS: a resposta do modelo não é uma autorização

O sinal: controlar a execução, não apenas o texto

No início de setembro, a OWASP anunciou a integração do Agent Control Standard no seu projeto GenAI. A cronologia pública tem uma inconsistência: o cabeçalho do comunicado indica 1 de setembro de 2026, enquanto o corpo está datado de 2 de setembro. O recurso ACS apresenta 1 de setembro. A existência do anúncio está confirmada; não atribuímos um dia único à transferência.

A descrição oficial do ACS aborda pontos de interceção em middleware e aplicação de políticas durante a execução. Isso não prova que um determinado produto já os implemente. Como base complementar, a orientação OWASP Excessive Agency, edição 2025, recomenda que a autorização seja imposta nos sistemas de destino, com verificação de cada pedido, em vez de entregue à decisão do modelo.

A nossa leitura é prática: validar o formato de uma chamada responde a uma pergunta diferente de decidir se ela pode acontecer. Um identificador de cliente pode ser sintaticamente correto e pertencer a outra organização. Um montante pode caber no campo e ultrapassar o mandato do operador.

Uma ficha de autorização por operação

Propomos começar por uma operação de escrita concreta, como alterar um contacto de faturação. O responsável de produto descreve o resultado permitido; segurança define os limites; engenharia demonstra onde esses limites são verificados. O modelo pode preparar a proposta, mas não deve poder reescrever a regra que a autoriza.

A ficha deve ligar cinco elementos: identidade do utilizador, organização a que pertence, objeto alvo, operação exata e validade da aprovação. Para ações com impacto relevante, o revisor deve ver os valores anteriores e propostos. Uma aprovação para mudar um endereço não deve ser reutilizada para acrescentar destinatários ou exportar o histórico do cliente.

O ensaio seguinte é uma proposta de aceitação, não um teste já realizado pela Velqory. Use dados sintéticos e um ambiente autorizado. Guarde identificadores de pedidos e motivos de decisão; não copie tokens, documentos pessoais ou segredos para o relatório.

• Caso permitido: alterar apenas o campo aprovado no objeto e na organização autorizados; confirmar o resultado no sistema de destino.
• Objeto trocado: manter uma chamada válida, mas substituir o alvo por outro cliente; esperar recusa antes de qualquer escrita.
• Aprovação vencida: repetir a proposta após retirar a permissão; esperar nova avaliação, não confiança na conversa anterior.
• Pedido repetido: reenviar a mesma operação depois de uma resposta interrompida; verificar se há efeito duplicado e definir a regra de repetição.

Perspetiva Velqory: a prova está no efeito recusado

O resultado útil para a direção não é uma captura de uma resposta prudente. É uma demonstração de que uma proposta fora do mandato não produz efeito, acompanhada do responsável pelo controlo e da forma de suspender a integração. Para uma PME, esta ficha pode ser curta; precisa de ser específica e testável.

O limite da análise é igualmente importante. Não avaliámos implementações ACS, compatibilidade entre frameworks ou resistência de um modelo a todos os ataques. Estes critérios não certificam conformidade e não substituem análise de dados, contratos ou segurança da ferramenta. Se o controlo ficar indisponível, a decisão recomendada para escrita é parar e encaminhar para revisão.

Fontes e validade: anúncio e recurso ACS sustentam o novo sinal; Excessive Agency sustenta os princípios de autorização. Consulta em 6 de setembro de 2026. Rever a ficha em cada mudança de ferramenta, identidade ou política, e a análise quando a especificação evoluir.