Toda a ferramenta é interna
O mercado está cheio de software que executam sobre os vossos próprios agentes. Nenhum é uma verificação independente de um agente construído por outrem.
Due diligence de agentes de IA
Verificam cada colaborador. O agente de IA a quem deram o vosso email, CRM e ficheiros, ninguém verificou.
Um agente de IA é uma identidade digital capaz de agir. Recebe permissões ao nível de um colaborador sem qualquer verificação prévia. A ProfCheck é o terceiro neutro que contratam para o verificar antes de entrar em funcionamento, revisto por um analista, tal como verificamos pessoas.
A lacuna
Três razões pelas quais ninguém verificou realmente o vosso agente.
Um passaporte autoemitido não é verificação
Uma credencial que o operador emite para o seu próprio agente é uma autodeclaração. É o oposto de um terceiro verificar o que o agente consegue de facto fazer.
As permissões efetivas excedem o declarado
«Nunca envia emails» é uma instrução, não uma permissão. Se o scope permite enviar, uma única linha injetada anula a promessa.
Para quem é
Para a equipa que concede o acesso ao agente.
Segurança, GRC e compras
Quem integra um agente de IA de terceiros e responde por aquilo que ele consegue alcançar.
Agentes ligados a sistemas reais
Agentes ligados ao email, ao CRM, às finanças ou a sistemas de ficheiros, a agir sobre dados em tempo real.
Um portão de integração de fornecedores
Um passo antes de ligar um agente, e renovações de ciberseguro que exigem uma avaliação de risco no processo.
Auditoria e supervisão do conselho
Uma auditoria DORA ou de risco de terceiros, ou um conselho que pergunta se houve due diligence antes da implementação.
O que verificamos
Toda a entidade operacional, não apenas o modelo.
Permission Intelligence
A capacidade efetiva face ao propósito declarado. Cada ferramenta e scope classificados numa escala de autonomia de oito níveis, de ler a autorizar.
Permission Attack Graph
Cadeias desde uma entrada não fiável, um email recebido ou uma página web obtida, até uma ação que envia, escreve ou transfere, com as mitigações que realmente resistem.
Fornecedor e cadeia de fornecimento
Quem está por trás do agente: o fabricante, o fornecedor do modelo, os servidores MCP e as ferramentas de terceiros, e quem os pode alterar após a verificação.
Sete domínios de risco
Identidade, permissões, autonomia, cadeia de fornecimento, exposição de dados, comportamento e monitorização, pontuados num único perfil de risco.
Conforme os padrões citados
Mapeado para OWASP Agentic Top 10, NIST AI RMF e CSA Agentic IAM, o equivalente no mundo dos agentes às listas de sanções e vigilância.
Como funciona
Do manifesto à decisão, em dias.
1. Entregam-nos um Manifest
OAuth scopes, ferramentas, servidores MCP, o System Prompt e uma breve descrição do caso de uso.
2. Mapeamos o efetivo face ao declarado
E construímos um Permission Attack Graph das cadeias que atravessam uma fronteira de confiança.
3. Um analista revê e pontua
Sete domínios de risco segundo OWASP, NIST e CSA, com cada achado ligado à sua base.
4. Recebem um relatório de apoio à decisão
Um perfil de risco, recomendações para reduzir permissões e um Agent Passport de uma página.
- Entregue em poucos dias úteis
- PDF cifrado, uma palavra-passe por relatório
- Apenas análise estática. Nunca executamos o vosso agente nem as suas credenciais
- Nenhum relatório sai sem revisão de um analista
O que recebem
Um relatório sobre o qual decidir.
- Perfil de risco do agente em sete domínios, pontuado de 0 a 100 com uma banda de risco
- Permission Attack Graph com as cadeias que importam
- Achados críticos, destacados à parte
- Recomendações concretas para reduzir permissões
- Um Agent Passport de uma página que acompanha o agente
A ProfCheck fornece evidências e recomendações. A decisão de ligar o agente, e com que permissões, continua a ser vossa.
Antes de conceder acesso ao próximo agente, verifiquem-no.
Descrevam o vosso agente e o seu acesso, e definiremos a verificação.