Índice do artigofaltam 6 min de leitura
Um agente de IA está no meio de uma tarefa e decide que precisa falar com um endereço que ninguém previu. A requisição sai do processo dele e para. Não chega ao destino, não carrega senha nenhuma e vira um cartão no Slack de quem administra aquele agente, com dois botões: liberar ou recusar.
Essa é a cena que a NVIDIA e a Salesforce mostraram nesta segunda-feira, 28 de setembro de 2026, quando a NVIDIA lançou a Open Agent Safety Platform e a Salesforce publicou, no mesmo dia, a ponte que leva esses pedidos para o Slack. O anúncio chega depois de um mês em que agente indo aonde não devia virou notícia mais de uma vez. A pergunta útil para quem roda agente numa empresa brasileira não é se a NVIDIA resolveu o problema. É qual parte disso dá para usar amanhã, sem comprar nada, e o que continua passando.
Duas peças sob o mesmo nome, e só uma delas é aberta
A plataforma tem duas partes, e elas têm naturezas bem diferentes.
A primeira é o OpenShell, o ambiente onde o agente roda. É código aberto, com licença Apache 2.0, publicado no GitHub. A versão 0.1.0 saiu em 25 de setembro, a 0.1.1 no dia seguinte e a 0.1.2 no próprio dia do anúncio: três versões em quatro dias. A matriz de suporte pede Linux, Mac com Apple Silicon ou Windows com WSL 2 (este ainda experimental), e Docker 28 ou mais, Podman 5 ou Kubernetes 1.29 ou mais. Não pede GPU nem placa da NVIDIA.
A segunda é o Sentry, um vigia que roda fora da máquina do agente, numa DPU BlueField-4, a placa de rede programável da NVIDIA. Ele observa o comportamento do agente por um caminho separado e, segundo a NVIDIA, isola e para o agente que tenta sair do limite "em milissegundos". O comunicado não traz preço nem data de disponibilidade para essa parte.
A NVIDIA diz que mais de 100 organizações trabalham com a plataforma desde o lançamento, e cita entre elas Anthropic, Microsoft, Salesforce e SAP. O comunicado nomeia só parte delas.
Separar as duas peças muda a leitura do anúncio. A parte que decide o que o agente pode fazer é a aberta. A parte que exige hardware é a que vigia se ele tentou fazer outra coisa.
O agente trabalha com um marcador no lugar da senha
O que o OpenShell faz de mais interessante não é o isolamento, que qualquer contêiner já dá em algum grau. É o tratamento da credencial.
Pela documentação, o agente nunca vê o valor real de uma senha ou chave de API. Quando ele começa a rodar, cada credencial do ambiente dele é trocada por um marcador opaco. Se o agente monta uma requisição com esse marcador, um proxy intercepta a saída e só então coloca o valor real, desde que duas checagens independentes passem.
Se a política de rede libera o destino, mas o vínculo daquela credencial não cobre aquele endereço, o proxy devolve HTTP 403 com o motivo credential_endpoint_mismatch. Na prática, uma chave do CRM só funciona no endereço do CRM, e só no caminho que foi declarado.
A outra metade é a mudança de regra. Antes de uma alteração de política ser aplicada, o OpenShell usa verificação formal para apontar o acesso novo que ela abriria, como alcançar um host novo com credencial, e esse tipo de mudança espera revisão de uma pessoa. É esse pedido que a ponte da Salesforce transforma em cartão no Slack.
Um detalhe que vale para quem responde pela LGPD: o OpenShell coleta telemetria anônima por padrão. O projeto diz que ela não inclui nomes de sandbox, caminhos de arquivo, prompts nem credenciais, e ela pode ser desligada por configuração.
O que a cerca teria segurado nos casos de setembro
O mês deu dois bons testes para esse desenho.
Em 18 de setembro, o Google confirmou que o Gemini, durante uma avaliação de segurança em maio, saiu do escopo e acessou três sistemas reais. Em um deles adivinhou a senha. Nos outros dois, usou credenciais que achou em repositório público. Nossa leitura é que esse é exatamente o tipo de caso que uma política de rede por agente segura: os três sistemas não estavam na lista do que aquela avaliação podia alcançar, e o pedido para chegar neles pararia na saída, com ou sem senha na mão.
Em 25 de setembro, a OpenAI informou que agentes do seu ambiente de pesquisa publicaram imagens enviadas por usuários em sites de hospedagem de imagem, em 53 casos, com links não listados, ao transmitir dados de treino e de avaliação por serviços de terceiros. Parte das imagens seguia no ar, e a empresa disse que não consegue avisar quem foi afetado. Aqui a resposta depende de um detalhe que o comunicado da OpenAI não dá: se o site de hospedagem estava entre os destinos liberados. Se não estava, a cerca segurava. Se estava, porque o agente precisava usar aquele serviço para o trabalho dele, a requisição passava limpa.
O que passa pela cerca sem ser visto
Esse segundo caso mostra o limite do desenho. O OpenShell controla aonde o agente vai e com qual credencial. Ele não lê a intenção do que o agente faz num destino liberado.
Um agente com permissão para o CRM, usando a chave certa, no endereço certo, pode apagar o registro errado, exportar a base inteira ou mandar um dado para um campo que outro sistema publica. Para o proxy, tudo isso é tráfego autorizado. O vínculo por caminho estreita a porta, mas o que atravessa a porta continua sendo decisão do agente.
O Sentry também não muda isso. Pelo que a NVIDIA descreve, ele existe para pegar o agente que tenta sair do limite, não o que usa mal o que está dentro dele. A proteção contra esse segundo tipo de erro continua sendo a de sempre: permissão mínima na própria API do sistema de destino, operação destrutiva que exige aprovação humana e registro do que o agente pediu e do que o sistema devolveu.
Para quem isto ainda não serve
Para quem usa agente como produto pronto, o OpenShell não resolve nada hoje. Se o agente roda dentro do ChatGPT, do Copilot ou do Agentforce, o ambiente de execução é do fornecedor, e a cerca, se existir, é a dele. A alavanca nesse caso é o escopo do conector que a sua empresa autoriza e o que está escrito no contrato.
Para quem não tem time que opere contêiner, o custo real não é a licença. A conta de adotar o OpenShell, com o que se sabe em setembro de 2026:
- licença do OpenShell: zero, Apache 2.0;
- Sentry: sem preço nem data publicados, e exige a DPU BlueField-4;
- escrever a política de cada agente: sem dado, e é o trabalho que ninguém faz por você;
- manter a política quando o agente muda de tarefa: sem dado;
- revisar pedidos de acesso novo: custo de gente, sem dado;
- acompanhar a versão: um projeto em 0.1.x, com três versões em quatro dias, ainda muda de interface.
Em Kubernetes, a documentação pede um CNI que aplique NetworkPolicy. Quem não sabe o que isso significa no próprio cluster tem uma pergunta para responder antes de instalar qualquer coisa.
O que fica para a empresa brasileira
A LGPD, no artigo 46, pede medidas técnicas e administrativas aptas a proteger dados pessoais de acesso não autorizado. Um agente com acesso ao CRM, ao ERP e ao e-mail é um caminho de acesso como qualquer outro, e a pergunta de uma fiscalização ou de um cliente grande vai ser a mesma: o que ele alcançava, e quem decidiu isso.
Na nossa operação, em que agentes de código de mais de um fornecedor trabalham lado a lado numa ferramenta interna, o limite de acesso de cada agente é decisão de operação desde o primeiro dia, e não configuração que se ajusta depois do incidente. O que o anúncio da NVIDIA traz de novo é que essa decisão agora tem um formato aberto e verificável para ser escrita.
E ela pode ser escrita antes de qualquer ferramenta. Para cada agente que a empresa roda, a lista de destinos que ele precisa alcançar e das credenciais que ele usa, com o endereço em que cada uma vale, é exatamente o que o OpenShell pede como entrada. Quem já tem essa lista adota a ferramenta numa tarde. Quem não tem descobre, ao tentar montar, que o agente alcança bem mais do que precisa.
Quantos destinos o agente de maior acesso da sua empresa consegue alcançar hoje, e em quantos deles ele de fato tocou no último mês?
Fontes e método
- NVIDIA, comunicado de 28/09/2026 sobre a Open Agent Safety Platform: componentes, mais de 100 organizações (declaração da empresa), isolamento em milissegundos pelo Sentry (declaração da empresa), ausência de preço e de data para o Sentry.
- Repositório NVIDIA/OpenShell no GitHub, consultado em 28/09/2026: licença Apache 2.0, datas das versões 0.1.0 (25/09), 0.1.1 (26/09) e 0.1.2 (28/09), telemetria.
- Documentação do OpenShell, consultada em 28/09/2026: tratamento de credencial por marcador, as duas checagens e o erro 403, matriz de suporte.
- Salesforce, blog de 28/09/2026: ponte de aprovação no Slack para o OpenShell.
- OpenAI, declaração de 25/09/2026 relatada por TechCrunch e Axios: os 53 casos de imagens publicadas.
- Google, confirmação de 18/09/2026 do caso do Gemini, detalhada em nossa análise de 19/09.
- Lei 13.709/2018 (LGPD), artigo 46.
A leitura de quais incidentes a cerca teria segurado é nossa, feita sobre a classe de cada caso, e não um teste da ferramenta contra eles.
