Dar permissões a agentes de IA: quanto acesso um assistente precisa mesmo

Distinguir leitura de escrita

Ao atribuir permissões a agentes de IA, aplica-se o mesmo princípio que se aplica às pessoas: o mínimo possível, o necessário. Um agente que só lê consegue responder a perguntas e criar relatórios, mas não altera nada.

No Same-QR crias chaves em três níveis: “só leitura”, “leitura + escrita” (criar, alterar nomes e textos) ou “total” (além disso, alterar destinos, pôr offline, apagar). Se ligares um agente de programação como o Claude Code, o Cursor ou o Codex a uma chave de leitura, nem sequer lhe são oferecidas as ferramentas de escrita. Por isso, também não as pode usar por engano.

Apagar só com confirmação

Uma nova oferta do dia é inofensiva, um código QR apagado é definitivo. Por isso, o Same-QR protege tudo o que muda o destino de um código QR impresso: alterações de destino, pôr offline e apagar exigem o nível “total”, uma confirmação com o estado lido antes, e através da API e do MCP são permitidas no máximo 10 vezes por hora e 30 vezes por dia. Nas apps ligadas recebes um e-mail de cada vez. Mesmo assim, dá regras próprias:

• “Mostra-me uma lista antes de qualquer alteração a códigos QR existentes.”
• “Nunca apagues nada sem a minha confirmação expressa.”
• “Se um código QR já não for preciso, muda o destino em vez de o apagar.”
• “Publica as páginas só depois de eu as ter visto.”

Acessos separados por tarefa

• Uma chave de leitura para o relatório mensal de leituras.
• Uma chave “leitura + escrita” só para o script que cria novos códigos de produto.
• Para o ChatGPT e o Claude.ai, o início de sessão por OAuth, sem qualquer chave copiada. No consentimento, marcas apenas as opções de que precisas.

Dá a cada chave o nome da sua finalidade e escolhe uma validade: 30, 90, 180 ou 365 dias, com 90 como predefinição. Podes ter até 10 chaves por conta.

Controlo

• Depois de alterações maiores, vê o painel e lê alguns códigos QR.
• Usa o histórico da conversa como prova do que foi ordenado.
• Lê, ou manda ler, os scripts que um agente escreveu antes de passarem a correr regularmente.

Além disso, há limites que travam um agente preso num ciclo: no máximo 120 pedidos por minuto por chave e um limite por hora consoante o plano. E, durante a noite, o Same-QR verifica cada destino e avisa-te por e-mail se algum não estiver acessível.

Revogar

Revoga chaves e desliga ligações quando um projeto termina, um prestador de serviços sai ou uma chave ficou visível. A revogação tem efeito imediato e os teus códigos QR ficam como estavam. Uma alteração de palavra-passe revoga todas as chaves de uma só vez.

Conclusão: porquê o Same-QR

O Same-QR foi feito para trabalhar com agentes: chaves de leitura que escondem as ferramentas de escrita, ferramentas de apagar assinaladas, validades, limites contra ciclos e revogação imediata. Assim, dás a um assistente exatamente o acesso de que precisa, e nem um bocadinho mais.

Começa já: regista-te gratuitamente em sameqr.com, 20 códigos QR dinâmicos são gratuitos para sempre. A API, a CLI e o servidor MCP existem em todos os planos e a documentação está em sameqr.com/entwickler.

Perguntas frequentes