A Palo Alto Networks publicou na quinta-feira o seu relatório 2026 Identity Security Landscape, com o número manchete para pendurar em qualquer deck de procurement de agente de IA: organizações agora gerenciam em média 109 identidades de máquina para cada identidade humana. Agentes de IA respondem por uma fatia crescente. Respondentes da pesquisa projetam crescimento de identidades de máquina de 77% nos próximos doze meses, de agentes de IA de 85%, e de identidades humanas de 56% — o que significa que a camada agente/máquina está se expandindo o dobro mais rápido que a camada humana, e o gap vai se ampliar materialmente até 2027. O problema downstream que o relatório sinaliza é o gap de percepção: executivos C-suite acreditam que suas organizações impõem o menor privilégio porque focam em acesso humano, enquanto practitioners de segurança relatam que não conseguem impor consistentemente o menor privilégio para contas de serviço através de cloud, SaaS e on-prem. Mais da metade dos respondentes admite esse gap por escrito.
Os dados de incidente da Unit 42 são a parte para pesar mais — vêm de investigações de brechas reais em vez de autodeclaração em pesquisa. A Unit 42 examinou mais de 750 incidentes cibernéticos em 2025; em 87% dos casos, investigadores precisaram de evidência de duas ou mais fontes distintas para estabelecer o que aconteceu, com incidentes complexos precisando de até dez fontes. Sistemas de identidade fragmentados adicionaram em média 12 horas à resposta de incidentes relacionados a identidade. O padrão que emerge é que autenticação está sobre-enfatizada como controle enquanto atividade pós-login está sub-monitorada: single sign-on e MFA seguram a porta da frente, mas nenhum dos dois pega o que um agente, token ou conta de serviço faz depois de autenticar. Agentes de IA já estão alcançando registros financeiros, PII, tecnologia operacional e sistemas business core — e a maioria das organizações não consegue definir a que esses agentes têm permissão de acessar, como o acesso é limitado, quando permissões são revogadas, ou que sistemas herdam acesso uns dos outros.
A leitura ecossistêmica conecta direto às peças do stack agêntico saindo esta semana. O preview do AWS WorkSpaces MCP-agent, coberto ontem, fez da identidade IAM-por-agente um requisito de procurement de base — o relatório da Palo Alto é o dado do lado demanda que explica por quê. O harness de segurança agêntico MDASH da Microsoft do mesmo ciclo de notícias é o complemento do lado ofensivo; o mesmo padrão arquitetônico (100+ agentes de IA especializados) que acha vulnerabilidades também vai criá-las quando implantado sem higiene IAM. O hedge honesto sobre este relatório: é a pesquisa própria da Palo Alto Networks, e a Palo Alto vende produtos de segurança de identidade incluindo ferramental de identidade de máquina integrado ao CyberArk — então o ratio 109:1 está no interesse comercial deles flaggear. As estatísticas de incidente da Unit 42 são mais críveis porque vêm de investigações reais em vez de autodeclaração, mas ainda devem ser tratadas como a visão da Palo Alto do mercado em vez de um censo independente.
Para builders: se você entrega produtos que incluem agentes de IA tocando dados de cliente, três ações concretas antes do próximo ciclo de implantação. Primeiro, audite seu inventário de identidades de máquina — a maioria dos times descobre que o ratio 109:1 é conservador quando realmente contam. Segundo, implemente acesso just-in-time para contas de serviço e identidade IAM-por-agente para qualquer agente que toque dados de produção; acesso privilegiado permanente agora é um achado de auditoria. Terceiro, construa um runbook de revogação de credenciais que não exija passo de aprovação humana — comprometimento de agente em velocidade de máquina vai queimar organizações que só conseguem revogar em velocidade humana. O relatório da Palo Alto está no link da Help Net Security se você quiser a metodologia completa; o enquadramento 109:1 é a parte para levantar em decks de procurement, e a projeção de agentes-IA-+85% é o input de planejamento para os próximos doze meses.