F5 Workforce AI Security Leva o Controle de Agentes para o Caminho da Rede

O F5 Workforce AI Security entrará em disponibilidade geral em outubro de 2026, ampliando a plataforma de segurança da F5 de aplicações de IA para a atividade de funcionários e agentes. O produto mira um conflito crescente dentro das empresas. Os trabalhadores querem ferramentas de IA capazes de agir, enquanto as equipes de segurança precisam de controles antes que essas ações cheguem a sistemas sensíveis.

A F5 anunciou a oferta em 9 de setembro como uma camada sem agente para descobrir o uso de IA e aplicar políticas em interações da força de trabalho. Segundo o anúncio sobre a força de trabalho da empresa, essas interações incluem navegadores, ferramentas de desenvolvimento, agentes de programação, interfaces de linha de comando e clientes de Model Context Protocol.

A mudança importante não é mais um painel para contar visitas ao ChatGPT. A F5 quer inspecionar o que um agente de IA pretende fazer, associar a solicitação a uma identidade e intervir antes da execução.

Essa abordagem contrapõe a aplicação de políticas baseada na rede aos controles vinculados a endpoints, navegadores ou aplicações individuais de IA. Ela também levanta questões difíceis sobre cobertura de tráfego, sessões criptografadas, privacidade dos funcionários e a confiabilidade da classificação automatizada de intenção.

Palo Alto Networks, Microsoft, Zscaler, Netskope e outros fornecedores de segurança já oferecem controles para o uso de IA pela força de trabalho. A aposta da F5 é mais restrita e mais ambiciosa. A empresa argumenta que o caminho da rede pode se tornar um ponto consistente de aplicação de políticas à medida que a atividade de IA vai além dos prompts e passa ao trabalho orientado por ferramentas.

F5 Workforce AI Security Amplia o Controle para Além dos Prompts

A F5 está tratando a chamada de ferramenta de um agente como um evento de segurança, e não apenas como uma conversa com IA.

Os controles tradicionais de IA para a força de trabalho normalmente começam pela descoberta de aplicações. As equipes de segurança identificam quais serviços de IA generativa os funcionários acessam e, então, restringem uploads, prompts ou aplicações não aprovadas.

Esses controles continuam importantes. Um funcionário pode expor código-fonte, registros de clientes, credenciais ou documentos jurídicos ao inseri-los em um modelo público. A orientação da Microsoft sobre controles de dados sensíveis recomenda examinar prompts, saídas, operações de memória, contexto recuperado e resultados de ferramentas.

Os agentes ampliam o problema porque podem agir após receber uma resposta. Um agente de programação pode editar um repositório, acionar uma ferramenta de implantação ou executar comandos. Um assistente pode recuperar documentos, atualizar o registro de um cliente ou enviar uma mensagem.

Essas ações muitas vezes herdam as permissões do usuário humano. A F5 descreve essa condição como autoridade emprestada. O agente não precisa de uma conta totalmente independente para criar risco se opera por meio de credenciais já concedidas a um funcionário.

O F5 Workforce AI Security foi projetado para identificar tanto o humano quanto o agente envolvidos em uma interação. Em seguida, pode classificar a intenção da solicitação, avaliar o risco de acesso e aplicar uma política antes da execução de uma chamada de ferramenta compatível.

A empresa afirma que as políticas podem permitir, bloquear ou modificar ações. Elas também podem considerar a exposição de dados sensíveis e a identidade associada a uma solicitação.

Model Context Protocol, ou MCP, é um protocolo aberto que conecta aplicações de IA a ferramentas e fontes de dados. A F5 afirma que seu produto pode inspecionar e classificar chamadas de ferramentas em servidores MCP e ferramentas de agentes compatíveis.

Essa distinção leva a segurança da força de trabalho além do controle sobre qual chatbot um funcionário abre. Um agente permitido ainda pode tentar uma ação que esteja fora da tarefa imediata do usuário ou da política da empresa.

A F5 também planeja controles sobre a escolha de serviço, tipo de licença, uploads de arquivos e política de dados. Uma organização poderia permitir uma conta empresarial aprovada enquanto limita uma versão de consumidor do mesmo serviço.

O produto integra a plataforma mais ampla F5 AI Security Platform. A F5 apresentou essa plataforma em junho de 2026 para descoberta, governança, testes e proteção em tempo de execução de IA.

Em agosto, a empresa adicionou recursos de AI Gateway, incluindo um MCP Gateway. O Workforce AI Security agora amplia a plataforma em direção à atividade de funcionários e agentes que atuam sob permissões de funcionários.

A sequência importa. Testes de red team podem expor fraquezas antes da implantação, enquanto proteções de tempo de execução resguardam aplicações de IA em produção. Os controles da força de trabalho tratam o risco distinto criado quando funcionários adotam ferramentas externas ou delegam tarefas a agentes.

A F5, portanto, quer uma estrutura de políticas para desenvolvimento, implantação e uso de IA. A experiência de unidade pelos clientes dependerá da qualidade da integração e da cobertura de tráfego, e não apenas do mapa de produtos.

O produto está programado para disponibilidade geral em outubro. Até que as implantações comecem, sua precisão de aplicação e carga operacional permanecem alegações da empresa, e não resultados validados de forma independente.

Por Que as Ações de Agentes Criam um Problema de Segurança Diferente

Um agente de IA pode transformar um prompt descuidado em uma operação com consequências contra sistemas reais.

Um funcionário que cola texto confidencial em um chatbot cria um problema de governança de dados. Um agente que usa credenciais para alterar uma configuração de produção também cria um problema de autorização.

Essa distinção explica por que a F5 está enfatizando ações, e não apenas prompts. A fronteira de segurança muda sempre que um sistema de IA pode chamar ferramentas, alterar dados ou se comunicar externamente.

O relatório 2026 State of Application Strategy da F5 constatou que 66 por cento das organizações pesquisadas permitem que a IA ajuste políticas ou configurações automaticamente. A F5 citou esse número em seu anúncio, portanto ele deve ser tratado como pesquisa patrocinada pela empresa.

Mesmo com essa ressalva, a questão subjacente é clara. As empresas estão levando a IA de interfaces consultivas para fluxos de trabalho com acesso de gravação.

O agente pode receber uma permissão ampla porque o funcionário já a possui. No entanto, a autoridade de um usuário não prova que toda ação gerada por agente reflita a intenção informada do usuário.

Isso cria uma lacuna entre autenticação e autorização. A autenticação estabelece quem iniciou uma sessão. A autorização deve decidir se uma ação específica é apropriada em seu contexto atual.

As equipes de segurança também enfrentam injeção indireta de prompts. Um invasor pode inserir instruções maliciosas em conteúdo que um agente posteriormente lê, como um e-mail, site, documento ou repositório de código.

O agente pode interpretar esse conteúdo hostil como uma instrução e realizar uma ação não intencional. A pesquisa do NIST sobre segurança de agentes descreve roubo de dados e execução de código malicioso como possíveis consequências.

Uma camada de política de rede pode adicionar outro ponto de verificação antes que a ação resultante alcance uma ferramenta. Ela não elimina o raciocínio comprometido dentro do agente, mas pode restringir o resultado.

A F5 afirma que seus controles usam contexto como identidade, intenção, risco e dados sensíveis. Essa combinação é necessária porque nem uma lista simples de bloqueio de aplicações nem uma lista estática de permissões capturam a situação completa.

Considere um desenvolvedor que usa um agente de programação aprovado. Ler um arquivo público de dependências pode ser rotina. Fazer upload de código proprietário para um modelo externo pode violar a política.

Abrir uma issue interna pode ser aceitável. Modificar uma implantação de produção pode exigir uma aprovação separada ou uma identidade de serviço mais restrita.

A decisão de segurança, portanto, depende de quem está agindo, quais dados estão envolvidos, qual ferramenta é o alvo e qual operação é solicitada. Ela também pode depender do ambiente e do horário.

Esse é o apelo prático da aplicação baseada em intenção. Ela promete mais contexto do que uma regra que bloqueia um serviço inteiro ou permite toda interação.

No entanto, “intenção” também é uma entrada difícil. Um classificador deve converter solicitações ambíguas em linguagem natural e chamadas técnicas de ferramentas em categorias de política confiáveis.

Um bloqueio equivocado pode interromper trabalho legítimo. Uma aprovação equivocada pode expor dados ou permitir uma operação prejudicial. Ambientes de alto risco precisarão de controles determinísticos em torno das ações mais consequentes.

O trabalho do NIST sobre identidade de agentes enfatiza identificação, autorização, auditoria e não repúdio. Também questiona como as organizações podem mitigar a injeção de prompts.

Esses requisitos vão além da inspeção de tráfego. As empresas precisam de identidades claras para agentes, permissões restritas, logs duráveis e responsabilidade por cada fluxo de trabalho automatizado.

O F5 Workforce AI Security pode se tornar uma camada de aplicação nesse sistema. Não deve se tornar a única fonte de confiança.

A Principal Disputa É a Aplicação na Rede Versus o Controle Específico de Ferramentas

A F5 aposta que a rede oferece um ponto de controle mais duradouro do que qualquer integração individual de modelo, navegador ou endpoint.

Os serviços de IA mudam rapidamente. Os funcionários podem migrar de um chatbot conhecido para uma extensão de navegador, assistente de programação, cliente de linha de comando ou modelo hospedado de forma privada.

Um controle de segurança específico para uma aplicação precisa reconhecer cada serviço e entender sua interface. Um produto de endpoint precisa de implantação, manutenção e permissões em todos os dispositivos gerenciados.

A F5 propõe aplicar controles onde prompts, respostas e ações de agentes atravessam a infraestrutura empresarial. A empresa afirma que essa abordagem independe de um fornecedor específico de modelo ou aplicação.

Seu produto pode descobrir serviços de IA em navegadores e ferramentas de desenvolvimento. A F5 também afirma que oferece suporte a ferramentas desenvolvidas internamente que acessam APIs de modelos públicos.

A oferta não exige outro cliente de endpoint, segundo a F5. Essa formulação é importante. Ela significa que os clientes podem evitar adicionar um novo cliente, não que o produto dispense trabalho de implantação.

Os clientes ainda precisam de posicionamento na rede, integração de identidade, configuração de políticas, registro em logs e conexões com seu ambiente de segurança existente. A cobertura também depende de qual tráfego a organização consegue observar.

A página do produto da F5 descreve descoberta passiva por meio de tráfego de rede espelhado. Ela afirma que a análise fora de banda não introduz latência porque a inspeção ocorre fora do caminho de produção.

A mesma página descreve controles adaptativos que bloqueiam, redirecionam ou modificam atividades. O anúncio também afirma que as políticas operam no caminho da interação.

Essas funções representam modos operacionais diferentes. A descoberta passiva pode observar sem atrasar o tráfego. A aplicação ativa precisa influenciar a solicitação antes da execução.

As empresas devem perguntar quais componentes operam passivamente e quais ficam inline. Também devem confirmar o que acontece quando os serviços de inspeção falham ou não conseguem classificar uma solicitação.

Os concorrentes já ocupam partes desse mercado. Palo Alto Networks oferece controles de acesso à IA para descobrir aplicações de IA generativa e evitar o vazamento de dados sensíveis por prompts e uploads.

O Microsoft Purview pode descobrir atividade de IA, aplicar políticas de prevenção contra perda de dados e exibir eventos de IA generativa em logs de auditoria. A Zscaler afirma que o AI Guard for Users inspeciona prompts e respostas de funcionários em serviços públicos de IA.

A Netskope combina descoberta de aplicações, controles de dados e infraestrutura de security service edge. Esses fornecedores já vendem para equipes empresariais de rede e segurança de dados.

A F5 deve, portanto, provar que controlar ações de agentes oferece uma vantagem operacional significativa. Apenas encontrar IA sombra não criará diferenciação suficiente.

Sua plataforma mais ampla pode ajudar. Dados de descoberta podem subsidiar testes do F5 AI Red Team e políticas de tempo de execução do F5 AI Guardrails, segundo as capacidades do produto da empresa.

Esse ciclo de feedback é atraente em teoria. O comportamento observado da força de trabalho pode identificar casos de uso arriscados, que as equipes de segurança podem testar e governar de forma mais deliberada.

Ainda assim, os clientes raramente padronizam todas as funções de segurança em uma única plataforma. Muitos operarão a F5 ao lado de provedores de identidade, ferramentas de endpoint, corretores de acesso à nuvem, produtos de segurança de dados e controles nativos dos modelos.

A interoperabilidade importará mais do que um único console. As equipes de segurança precisam que eventos e decisões de política transitem sem atritos entre seus sistemas existentes.

A abordagem de rede também tem pontos cegos naturais. Conexões diretas de dispositivos, redes não gerenciadas, criptografia de ponta a ponta, modelos locais e ferramentas não compatíveis podem limitar o contexto observável.

A F5 não demonstrou publicamente que todos esses caminhos são cobertos. Os compradores devem mapear os fluxos de trabalho reais dos funcionários antes de aceitar uma alegação de visibilidade completa.

A versão mais forte do argumento da F5 não é que a rede vê tudo. É que um ponto de controle na rede pode oferecer aplicação consistente de políticas em muitas ferramentas que, de outro modo, estariam fragmentadas.

Essa proposta pode ser testada. Os clientes podem comparar a atividade descoberta com a telemetria de endpoints, logs de SaaS, registros de identidade e implantações conhecidas de agentes.

Se os registros estiverem alinhados, a aplicação de políticas na rede se torna uma camada comum útil. Se persistirem lacunas relevantes, a plataforma exigirá controles complementares.

Visibilidade Ampla Traz Compromissos de Privacidade e Precisão

Inspecionar a atividade de IA pode reduzir o risco de segurança, mas também criar um registro sensível de ideias, erros e hábitos de trabalho dos funcionários.

A F5 afirma que sua plataforma pode registrar interações com IA e classificar a intenção de negócio. Seus materiais de produto citam exemplos como sumarização e geração de código.

Essas informações podem ajudar as equipes de segurança a identificar padrões arriscados. Também podem expor conversas confidenciais, estratégias em elaboração, questões de pessoal, perguntas de pesquisa e sinais individuais de desempenho.

Um prompt raramente é apenas mais um evento de rede. Ele pode conter o raciocínio do usuário, suas incertezas ou contexto detalhado de trabalho interno.

As respostas podem ser igualmente sensíveis. Um sistema de IA pode combinar a entrada do usuário com dados corporativos recuperados, memória privada ou conteúdo de ferramentas conectadas.

Por isso, as organizações precisam de controles para o próprio sistema de segurança. O acesso aos logs de prompts e respostas deve seguir funções rigorosas, limites de retenção e requisitos de auditoria.

As equipes jurídica, de privacidade, de segurança e de relações com funcionários devem definir uma monitoração aceitável antes de uma implantação ampla. Regras regionais de trabalho e privacidade também podem afetar como a monitoração é introduzida.

A F5 afirma que trilhas de auditoria podem registrar a jornada de uma solicitação de IA, sua resposta e a intenção do usuário. As empresas devem determinar quais campos são retidos e se o conteúdo sensível pode ser minimizado.

Também devem perguntar se a redação ocorre antes do registro ou apenas antes de os dados chegarem a um modelo externo. A ordem altera a exposição criada pela plataforma de segurança.

A precisão da classificação apresenta outra troca. Uma solicitação rotulada como “sumarização” pode conter registros regulamentados. Uma ação de programação pode, na prática, modificar infraestrutura por meio de um script gerado.

A intenção em linguagem natural pode complementar fatos técnicos explícitos, mas não deve substituí-los. Destino, tipo de operação, identidade, sensibilidade do recurso e escopo de permissões fornecem sinais mais concretos.

Ações de alto impacto merecem políticas de bloqueio por padrão ou exigências de aprovação direta. Ações de baixo risco podem tolerar classificações mais flexíveis e orientação.

O sistema também deve distinguir usuários de agentes que atuam em nome desses usuários. Tokens compartilhados ou sessões de navegador herdadas podem dificultar a atribuição.

O NIST alertou que agentes frequentemente recebem acesso a novas ferramentas e dados por meio de credenciais humanas. Sua orientação de identidade de agosto de 2026 também destaca a fadiga de consentimento causada por solicitações repetidas de aprovação.

Prompts em excesso podem treinar usuários a aprovar ações de forma reflexa. Poucos prompts podem permitir que um agente ultrapasse limites importantes sem uma revisão significativa.

O mecanismo de políticas da F5 precisa ajudar os clientes a decidir onde a fricção deve existir. A resposta variará conforme a ação, o recurso e a função de negócio.

Um assistente de vendas redigindo um e-mail envolve um risco diferente de um agente de programação que altera infraestrutura de produção. Um resumo local tem implicações diferentes de um upload externo.

As equipes também precisam de um processo para contestar decisões incorretas de política. Sem razões transparentes, os desenvolvedores podem contornar os controles ou voltar a ferramentas não gerenciadas.

É nesse ponto que uma base de conhecimento de IA pesquisável pode apoiar a governança. Os funcionários precisam de registros claros sobre ferramentas aprovadas, regras de dados e caminhos de escalonamento.

A documentação, por si só, não pode aplicar políticas. No entanto, a aplicação de políticas sem orientações compreensíveis frequentemente leva a adoção para canais menos visíveis.

O posicionamento sem agente da F5 reduz uma fonte de fricção na implantação. Ele não elimina o trabalho organizacional necessário para classificar dados, atribuir responsabilidades e definir ações permitidas.

A versão de outubro precisará mostrar como esses controles se comportam sob pressão cotidiana. Uma avaliação útil deve incluir falsos positivos, ações não detectadas, latência de políticas e carga de trabalho administrativa.

As equipes de segurança também devem testar prompts adversariais, não apenas fluxos de trabalho normais. Um produto de controle de agentes precisa lidar com tentativas de disfarçar a intenção ou dividir trabalhos arriscados entre várias chamadas.

Nenhuma proteção fixa pode garantir defesa permanente contra atacantes adaptativos. A aplicação de políticas na rede deve participar de testes contínuos, monitoramento e atualizações de políticas.

Três Sinais Mostrarão se a Aposta da F5 Funciona

O valor do produto será determinado pela cobertura medida, por controles de agentes aplicáveis e por integrações que sobrevivam à complexidade real das empresas.

O primeiro sinal é a evidência de implantação após outubro de 2026. A F5 deve publicar detalhes precisos sobre navegadores compatíveis, ferramentas de linha de comando, frameworks de agentes, clientes MCP e configurações de rede.

Uma longa lista de compatibilidade não será suficiente. Os clientes precisam saber quais fluxos de trabalho oferecem apenas descoberta e quais permitem aplicação de políticas antes da execução.

Eles devem comparar o inventário da F5 com a telemetria de endpoints, logs de identidade, registros de API e pesquisas com funcionários. Diferenças sem explicação revelarão pontos cegos.

Essa evidência fortalecerá o caso da F5 se uma implantação baseada em rede identificar atividade em muitas ferramentas com baixa sobrecarga operacional. Grandes lacunas de cobertura o enfraquecerão.

O segundo sinal é a prova de que os controles de ações dos agentes funcionam em condições adversariais. Isso significa testar mais do que solicitações óbvias para excluir arquivos ou exportar registros.

As avaliações devem incluir injeção indireta de prompt, solicitações ambíguas, chamadas de ferramentas aninhadas, credenciais reutilizadas e ações distribuídas em várias etapas.

Os clientes devem medir tanto as ações prejudiciais interrompidas quanto as ações legítimas interrompidas. Um produto que bloqueia tudo é seguro apenas no sentido mais restrito.

A F5 já oferece recursos de red team para IA, portanto os compradores devem perguntar se as políticas do Workforce AI Security podem ser testadas em cenários de ataque reproduzíveis. Os resultados devem orientar mudanças nas políticas.

A validação independente teria mais peso do que scripts de demonstração. A documentação técnica deve explicar os limites de classificação e o comportamento em caso de falha sem expor lógica sensível de detecção.

O terceiro sinal é a resposta competitiva. Palo Alto Networks, Microsoft, Zscaler, Netskope e fornecedores de identidade têm pontos de controle adjacentes e relacionamentos consolidados com clientes.

Se essas empresas ampliarem a aplicação de políticas em chamadas de ferramentas e os recursos de identidade de agentes, a diferenciação da F5 diminuirá. Isso também confirmaria que a segurança de IA para a força de trabalho está indo além da governança de chatbots.

Se os clientes, em vez disso, consolidarem controles em torno de permissões nativas dos modelos ou controles centrados em identidade, a inspeção de rede poderá permanecer uma camada de apoio. A F5 então competirá em integração e conveniência operacional.

O resultado provável é uma segurança em camadas. Os provedores de modelos restringirão o uso de ferramentas, os sistemas de identidade limitarão a autoridade e os produtos de endpoint observarão a atividade dos dispositivos.

Os controles de rede podem avaliar fluxos de dados e operações entre fornecedores. As proteções em tempo de execução podem monitorar aplicações que as próprias empresas desenvolvem.

A questão central não é qual camada vence. É se a política permanece consistente à medida que uma ação passa entre essas camadas.

Para compradores empresariais, a medida imediata é inventariar os fluxos de trabalho reais de IA antes de escolher um produto de controle. Inclua serviços aprovados, ferramentas sombra, agentes de programação, modelos privados e conexões MCP.

Em seguida, identifique quais fluxos de trabalho podem ler dados sensíveis, comunicar-se externamente ou alterar o estado de sistemas. Essas capacidades merecem as identidades e verificações de política mais rigorosas.

O F5 Workforce AI Security chega em um momento oportuno porque a adoção de agentes está expondo os limites das listas de bloqueio de aplicações. Sua estratégia de rede oferece um ponto de controle comum plausível.

A estratégia continua não comprovada em escala. A F5 precisa mostrar que consegue observar contexto suficiente, classificar ações com precisão e aplicar políticas sem tornar intolerável o uso produtivo de IA.

Os líderes de segurança devem usar o lançamento de outubro como o início de uma avaliação, não como seu fim. Quais ações de agentes a plataforma realmente consegue ver, explicar e impedir em seu ambiente?