A AWS divulgou uma nova abordagem para governança de agentes de inteligência artificial, batizada de Trust in Depth, ou Confiança em Profundidade. A proposta, apresentada por Shawn Bice, vice-presidente de Serviços de IA da empresa, é permitir que agentes atuem de forma autônoma quando suas ações podem ser verificadas, reservando o julgamento humano apenas para as decisões que realmente exigem pessoas. O modelo é apresentado como uma adaptação da disciplina de segurança em camadas conhecida como Defesa em Profundidade, praticada pela indústria há duas décadas, mas com um novo propósito: expandir o que pode ser permitido com segurança.
O ponto de partida do argumento é um problema comum às empresas. Líderes corporativos querem que os agentes assumam mais tarefas, mas não confiam que eles farão tudo certo o tempo todo. Essa desconfiança tem fundamento técnico: quando recebe uma tarefa, o agente encontra seu próprio caminho para concluí-la, escolhendo ferramentas e ordenando etapas que nenhum desenvolvedor programou. Executada duas vezes, a mesma tarefa pode seguir rotas diferentes, e um teste aprovado hoje diz pouco sobre o comportamento de amanhã.
A resposta tradicional é colocar uma pessoa para aprovar cada ação do agente. Segundo a AWS, isso funciona em pequena escala, mas gera acúmulo de aprovações e fadiga de revisão. Pessoas obrigadas a checar tudo deixam de perceber o que realmente importa, a cautela se transforma em gargalo e agentes capazes de muito mais ficam ociosos. A saída proposta é construir confiança com camadas independentes que se reforçam mutualmente, já que filtragem de conteúdo, testes e monitoramento, isoladamente, não garantem o comportamento correto na próxima execução.
A metodologia responde a quatro perguntas em momentos distintos do ciclo de vida do agente. Antes de rodar, define-se o escopo: para que o agente serve, quais capacidades a tarefa exige e o que ele jamais pode fazer. Na implantação, busca-se conhecê-lo: quem o autorizou, que identidade ele carrega e se é possível dar conta de todos os agentes atuando em nome da empresa. Durante a execução, é preciso limitá-lo, garantindo que suas ações permaneçam dentro dos parâmetros estabelecidos sem impedir o trabalho. Depois de cada rodada, chega a hora de observar, reconstruindo o que foi feito, por quê, e aprendendo com isso.
O diferencial técnico apresentado é o raciocínio automatizado, uma lógica matemática que verifica se uma regra vale em todos os casos possíveis, produzindo uma prova formal ou revelando exatamente onde a regra falha. A AWS afirma aplicar essa tecnologia em produção há mais de uma década, do serviço de gerenciamento de identidade e acesso, com mais de 2,1 bilhões de requisições por segundo, a sistemas críticos como o hipervisor da linha Nitro, o bloqueio de acesso público do Amazon S3 e o analisador de alcançabilidade de redes. O limite é claro: regras como "apenas um gerente pode aprovar acesso" podem ser provadas, enquanto expectativas como "manter um tom amigável" dependem de contexto e julgamento humano.
Na prática, cada camada tem ferramentas associadas. No escopo, o Kiro aplica práticas maduras de engenharia à construção do agente, transformando intenções em requisitos estruturados, enquanto o Strands oferece um kit de código aberto para definir modelo, instruções e ferramentas. O Amazon Bedrock AgentCore fornece controles de governança, com políticas descritas em linguagem natural e verificadas por raciocínio automatizado antes de entrarem em vigor. Para identidade, o AWS Agent Registry mantém um catálogo gerenciado de agentes, ferramentas e habilidades da organização, e cada agente recebe uma identidade própria checada a cada requisição.
Na execução, as políticas do AgentCore são aplicadas em cada chamada de ferramenta por meio do AgentCore Gateway, um ponto de entrada seguro que fica fora do raciocínio do agente. Assim, os controles continuam valendo mesmo se o agente estiver com defeito, for manipulado ou sofrer um ataque de injeção de comandos no texto de entrada. Políticas temporais ajustam permissões conforme o risco da sessão muda, o Amazon Bedrock Guardrails filtra conteúdo e protege dados sensíveis, e o Strands Box, um ambiente isolado de código aberto, limita quais arquivos, serviços e credenciais o agente pode alcançar. Para observação, o Amazon CloudWatch Omni registra cada passo em uma linha do tempo investigável e avalia respostas quanto à correção e à escolha adequada de ferramentas.
A AWS ilustra o funcionamento com o caso de um agente encarregado de desligar um funcionário que sai da empresa, transferindo sua caixa de correio e liberando a licença de e-mail. As políticas impediram a conversão da caixa enquanto o acesso antigo continuasse válido e bloquearam a mudança de licença até que a retenção legal de mensagens, exigida em uma disputa com cliente, fosse confirmada. A tarefa foi concluída sem aprovação humana a cada etapa, com todas as ações registradas e rastreáveis à identidade do agente.
A empresa defende que toda organização que implanta agentes, em qualquer plataforma, consiga responder às quatro perguntas com evidências e, quando possível, com provas matemáticas, e convida a indústria a adotar o mesmo padrão. Para começar, recomenda um agente, um fluxo de trabalho e um limite que possa ser provado, expandindo conforme a confiança é construída. A documentação de Policy in Amazon Bedrock AgentCore e de Automated Reasoning checks in Amazon Bedrock Guardrails está disponível para quem quiser implementar as regras verificáveis.
