Autenticação, autorização e RBAC

Autenticação é verificar quem é a pessoa ou o sistema (login, token). Autorização é verificar o que ela pode fazer. RBAC (controle de acesso baseado em papéis) é a forma de autorizar por papéis (atendente, supervisor, cliente) em vez de pessoa por pessoa. Em IA, a autorização precisa chegar até a recuperação (o RAG só devolve o que o usuário pode ver) e até as ferramentas (o agente age em nome de alguém, com limites). Um assistente que não sabe quem está perguntando não pode decidir o que responder.

Em Produto, a pergunta “quem está perguntando?” precisa ser respondida antes de recuperar qualquer contexto. Assistentes que ignoram isso vazam dados entre clientes e entre áreas. Para agentes, vale definir se agem com identidade própria ou com a identidade do usuário, e quais são os limites de cada opção. Por exemplo, um cliente autenticado recebe apenas trechos do próprio contrato; um supervisor autenticado recebe de qualquer contrato da sua carteira; ninguém recebe dados de RH.

Use RBAC para permissões organizadas por papel. Use ABAC (controle por atributos) quando a regra depende de contexto, como região ou tipo de contrato. Use recuperação consciente de acesso como a aplicação desses controles ao RAG. Uma forma simples de diferenciar: autenticação é a carteira de identidade; autorização é o crachá que abre portas; RBAC é o crachá por cargo.

Fundamentos de segurança da informação; RBAC formalizado por Ferraiolo & Kuhn (NIST, 1992).

NIST, Role Based Access Control; OWASP Application Security Verification Standard