Uma empresa pode instruir um agente a não compartilhar dados ou não executar ações perigosas. O problema aparece quando a instrução é o único freio. Se o agente chama ferramentas, modifica estado ou delega trabalho, a organização precisa poder observar e interromper a ação fora do modelo.
O que foi lançado em 1º de setembro
O OWASP GenAI Security Project incorporou o Agent Control Standard, um projeto aberto que propõe hooks de middleware e aplicação declarativa de políticas em runtime [1][2]. O README identifica a versão v0.1 como public preview e separa implementação presente de etapas futuras.
- Instrumentar: interceptar entrada, saída, tool call, memória, execução e delegação.
- Rastrear: emitir eventos estruturados e integrá-los a pipelines de observabilidade.
- Inspecionar: descrever modelos, ferramentas, capacidades e dependências em um Agent Bill of Materials.
- Aplicar política: permitir, negar ou modificar uma ação antes que ela alcance o sistema de destino.
A arquitetura prometida é maior do que o que já está pronto
A documentação pública descreve implementação de referência e trabalho com OpenTelemetry como ativos, extensões AgBOM como em andamento e integrações MCP/A2A como planejadas [3]. Isso é transparência útil. Também impede apresentar o projeto como padrão consolidado, interoperabilidade demonstrada ou controle universal já disponível.
Identidade não é autoridade suficiente
O NIST alerta que compartilhar credenciais humanas com agentes cria lacunas de accountability e que tokens estáticos e amplos não provam identidade nem granularidade de autorização [5]. Identificar o agente é necessário; autorizar cada consequência e preservar o contexto delegado exige outra camada. O ACS tenta ocupar parte desse espaço operacional.
O Crosswalk associado ainda não deve virar selo
O OWASP publicou também um Crosswalk entre riscos e frameworks [4]. A própria página declara que todos os mappings permanecem sem revisão até a assinatura de um revisor identificado. Além disso, páginas públicas consultadas em 02/09 exibiam totais diferentes para riscos, frameworks e mappings. Até a reconciliação, o material serve para descoberta e análise de lacunas, não para afirmar cobertura ou conformidade.
Cinco perguntas para fornecedor e arquitetura
- Quais decisões do agente podem ser interceptadas antes da consequência?
- A política é aplicada fora do modelo e falha de forma fechada?
- Identidade, usuário delegante, escopo e validade acompanham toda a cadeia?
- Os rastros permitem reconstruir ferramenta, dados, decisão e estado final sem expor raciocínio sensível?
- Quais partes funcionam hoje, quais são preview e quais dependem de roadmap?
Score, limitações e conflito de interesse
O radar classificou o ACS em 7/11: fonte primária forte, especificação e repositório públicos, alta atualidade e impacto decisório; a corroboração independente e a evidência de eficácia ainda são limitadas. É um projeto comunitário aberto sob o guarda-chuva OWASP, desenvolvido pelos próprios proponentes. NIST corrobora o problema de identidade e autorização, não a implementação específica nem a eficácia do ACS [5][6].
Nota editorial e de responsabilidade
Este artigo diferencia descrição do projeto, análise profissional e hipótese de adoção. Não afirma que o ACS seja certificação, padrão final, controle validado ou requisito legal. Links, estágio e divergências foram verificados em 02/09/2026. O conteúdo é informativo e não substitui avaliação técnica, jurídica ou de conformidade. Tech Human e Trustyu atuam comercialmente em temas relacionados. Pesquisa e redação tiveram assistência de IA; revisão factual, autoral e aprovação de publicação foram confirmadas por Fernando Parreiras em 02/09/2026.