Governance & Trust · the moat
Autonomy your risk committee can sign off on.
Esta é a vantagem defensável, e a razão pela qual um comprador regulado diz sim: governação comprovada onde errar é ilegal, sustentada por 10 anos em produção. O VessterOS é a forma como a aplicamos, o modo como corremos agentes de forma auditável e dentro da lei. Portável, sua para operar, e comprovada nos domínios regulados mais exigentes, depois aplicada a toda a empresa.
O que "governado" significa de facto
Four operating disciplines. Each a control you own.
Governação não é um PDF de políticas. No VessterOS são quatro disciplinas operacionais, cada uma um controlo de engenharia com um responsável e uma trilha de auditoria, não uma promessa. Todas são suas para inspecionar e operar.
Duas coisas que demoram uma década a conquistar: uma disciplina de governação comprovada onde errar é ilegal, e 10 anos a correr IA em produção. O VessterOS é a forma como aplicamos essa disciplina aos seus processos, um veículo de entrega que é seu e que pode operar de forma independente. Os agentes, e o runtime, ficam consigo.
Certifications & standards
CertifiedThe standards we hold ourselves to.
Autonomia
Os agentes conquistam autonomia. Não começam com ela.
O padrão perigoso é binário: ou um humano faz tudo, ou o agente é "largado à solta". Nenhum é governável. O VessterOS faz da autonomia uma propriedade gradual e evidenciada: cada degrau tem um limiar de entrada, um raio de impacto delimitado e um caminho de regresso documentado.
- L0ShadowL0O agente observa
Corre ao lado dos humanos, propondo mas nunca agindo. As avaliações de base definem o limiar de confiança.
Redige a nota de crédito; um humano escreve a que é enviada.
- L1SupervisedL1Humano no circuito
Age apenas depois de um humano aprovar cada passo. Os humanos continuam a ser o ponto de decisão.
Prepara o pagamento; um humano clica em aprovar.
- L2GuidedL2Humano sobre o circuito
Age autonomamente; os humanos monitorizam e tratam as exceções. O handoff-and-resume mantém o estado intacto.
Faz o onboarding de clientes de ponta a ponta; os humanos revêem os casos-limite assinalados.
- L3FullL3Autónomo
Corre de ponta a ponta dentro de um raio de impacto delimitado e documentado, monitorizado por avaliações e deteção de deriva.
Reconcilia livros durante a noite; as decisões de consequência ainda precisam de aprovação.
Os humanos passam de aprovadores a gestores de exceções à medida que a confiança é conquistada, nunca o inverso sem justificação. Nos processos regulados de maior risco, a escada é limitada por lei: onde uma regra reserva a decisão a uma pessoa, o agente para na análise e o veredicto é REQUIRE-HUMAN. A autonomia é delimitada pela responsabilidade, por conceção.
O limiar de confiança
As avaliações são o andaime da confiança, os testes de integração do mundo agêntico.
Challenge
Não se pode promover um agente por intuição. "Parece funcionar" não é um controlo que um regulador ou um comité de risco aceite.
Why it matters
Cada atualização de modelo, alteração de prompt ou nova fonte de dados pode mover o comportamento em silêncio. Sem um gate medido, a autonomia sobe sem qualquer evidência por trás.
How Vesster-OS resolves it
Cada degrau tem um conjunto de avaliações que tem de passar para entrar: conjuntos de dados golden versionados, limiares de regressão e um EvalReport assinado e imutável. Um agente é promovido por evidência ou não é de todo; o mesmo conjunto corre em CI, por isso uma regressão bloqueia a release antes de ser enviada.
Monitorização de deriva
Um modelo que passou o mês passado pode falhar este mês. Vigiamo-lo.
Challenge
Os agentes agem sobre contexto ao vivo e dependem de modelos que mudam por baixo de si. A prova de ontem expira.
Why it matters
A deriva silenciosa num agente em produção é como um processo "de confiança" começa discretamente a tomar as decisões erradas, o modo de falha que um comité de risco mais teme.
How Vesster-OS resolves it
O VessterOS monitoriza continuamente a deriva de distribuição, custo e qualidade a partir de traços de produção; um alerta de deriva pode automaticamente descer um agente na escada para um degrau mais seguro e encaminhá-lo para um humano até se requalificar. A confiança é contínua, não uma certificação pontual.
Handoff-and-resume
Quando um agente atinge o limite da sua política, faz o handoff, sem quebrar o processo.
Challenge
A maioria das automatizações falha na exceção: ou bloqueiam, ou avançam à força sobre um caso que não deviam tocar.
Why it matters
Num processo regulado, a exceção É o risco. Como o sistema se comporta na sua própria fronteira é o jogo todo.
How Vesster-OS resolves it
Numa exceção fora da política, o agente cria um ponto de handoff durável, delega a um humano com contexto completo, e retoma o fluxo de trabalho exato quando o humano responde: sem casos órfãos, sem estado perdido. A execução durável significa que uma falha é reproduzida deterministicamente a partir do ponto onde parou.
O kill-switch
Revogável por conceção, e registado para sempre.
Challenge
"Autónomo" só é seguro se o conseguir parar, instantaneamente, e provar depois exatamente o que aconteceu.
Why it matters
Um botão de paragem que ninguém testou, e overrides que ninguém registou, é teatro. As regras de resiliência operacional esperam um controlo real e treinado.
How Vesster-OS resolves it
Um kill-switch testado degrada um agente para bloqueado a pedido; o rearme exige dois operadores (quatro olhos). Cada override humano é escrito num registo apenas de acréscimo e assinado (quem, quando, porquê, e o estado anterior), e o exercício do kill-switch é documentado e ensaiado.
Segurança
Todo o input é tratado como controlado por um adversário.
A defesa robusta é arquitetural, não um modelo mais bem treinado. Um modelo mais forte reduz a probabilidade de um ataque bem-sucedido; nunca remove a possibilidade. A arquitetura correta remove a possibilidade por conceção, e essa é a única afirmação que um CISO deve aceitar.
Untrusted input
doc · message · payload
Defense-in-depth · 4 independent layers
- 01
Spotlighting
delimits & encodes input as data
- 02
CaMeL isolation
quarantined reader can't act
- 03
Detection guardrails
injection & insecure-code checks
- 04
Policy / PDP
policy-as-code decision point
Governed action
tool call · under policy
O modelo de ameaça
O documento é o vetor de ataque.
Challenge
A injeção de prompt indireta (instruções escondidas em texto branco, metadados, camadas de imagem, campos de formulário) e o envenenamento de memória transformam um input comum num comando dirigido ao modelo, não ao humano.
Why it matters
Dê a um agente ferramentas e autonomia, e uma injeção bem-sucedida significa exfiltração de dados ou uma decisão manipulada: um forçado "nenhuma fraude encontrada", um pagamento que não deveria ser aprovado. Esta é a primeira pergunta séria que um CISO faz.
How Vesster-OS resolves it
Nomeamos o modelo de ameaça por escrito e projetamos contra ele, usando o OWASP Top 10 para Aplicações Agênticas (ASI01-10) como taxonomia, mapeado item a item para um controlo nomeado (abaixo).
Fronteira de contaminação
Um documento envenenado não pode sequestrar o seu agente.
Challenge
Se conteúdo não fidedigno puder influenciar o que o agente faz, e não apenas o que lê, cada input é um potencial exploit.
Why it matters
Esta é a única fronteira que separa uma demo de um sistema que pode colocar à frente de um regulador.
How Vesster-OS resolves it
Um invariante inegociável: valores derivados de dados não fidedignos nunca se tornam argumentos de uma ferramenta privilegiada sem passar por política. A contaminação propaga-se pelo fluxo de dados; em qualquer dúvida o sistema falha em segurança (fail closed): coloca em quarentena e escala, nunca uma permissão silenciosa.
Dual-LLM (CaMeL)
O componente que lê conteúdo não fidedigno nunca pode agir sobre ele.
Challenge
Um único modelo que lê o documento e chama as ferramentas está a uma injeção de distância de agir sobre instruções do atacante.
Why it matters
Separar os papéis é o que torna a fronteira de contaminação real em vez de aspiracional.
How Vesster-OS resolves it
O padrão CaMeL (Google DeepMind / ETH Zurique) separa papéis: um planeador privilegiado (P-LLM) planeia e chama ferramentas apenas sobre instruções fidedignas; um leitor em quarentena (Q-LLM) processa conteúdo não fidedigno e não tem ferramentas. Mesmo um documento malicioso pode preencher valores de dados; nunca pode alterar o plano. Custo publicado: ~7 pontos percentuais de utilidade de conclusão de tarefas no benchmark AgentDojo, um preço modesto e medido por uma garantia estrutural. (Esse é o número da investigação; num projeto real medimos e reportamos a nossa própria taxa nos seus inputs.)
Defesa em profundidade
Nenhum controlo isolado é de confiança para se sustentar sozinho.
Challenge
Qualquer camada isolada, um detetor, um filtro de input, acabará por ser contornada.
Why it matters
Apostar o sistema num único guarda engenhoso é como acontecem as violações.
How Vesster-OS resolves it
Quatro camadas independentes: spotlighting (marcar input não fidedigno) → isolamento CaMeL → guardrails de deteção (injeção de prompt, código inseguro, verificações de alinhamento) → um ponto de decisão de política que emite cada veredicto de permitir/negar. O spotlighting reduz a superfície de ataque; não a elimina, e é exatamente por isso que nunca é a única camada.
Identidade não humana
Uma credencial de agente roubada não vale nada.
Challenge
Credenciais de serviço estáticas e de âmbito alargado são o clássico prémio de movimentação lateral.
Why it matters
Um agente comprometido nunca deve conseguir exceder o seu âmbito mínimo.
How Vesster-OS resolves it
Cada agente corre sob a sua própria identidade efémera e de privilégio mínimo, nada estático para roubar, com capacidades de ferramentas tipadas e explícitas, execução em sandbox e uma allow-list de saída. Nenhum canal de saída é controlável por dados não fidedignos.
OWASP Agentic Security InitiativeAll 10 threats, each mapped to a named architectural control
| ASI | Threat | Architectural control |
|---|---|---|
| ASI01 | Manipulação de prompt / objetivo | CaMeL + spotlighting |
| ASI02 | Uso indevido de ferramentas | Capacidades tipadas + PDP |
| ASI03 | Comprometimento de privilégios | Privilégio mínimo + credenciais efémeras |
| ASI04 | Recursos / DoS | Quotas + timeouts |
| ASI05 | Envenenamento de memória | Escritas em memória etiquetadas por proveniência |
| ASI06 | Cascata multi-agente | Política por salto |
| ASI07 | Enganos / desalinhamento | Verificações de alinhamento |
| ASI08 | Output inseguro | Code-shield antes da execução |
| ASI09 | Identidade / falsificação | Identidade não humana |
| ASI10 | Exfiltração | Allow-list de saída |
Contexto e Acesso
Os agentes só valem tanto quanto o contexto a que conseguem chegar.
Esta é a lacuna que a história do "basta construir um agente" salta. Um agente num portátil não chega a nada daquilo com que a sua organização funciona. Torná-lo útil, e seguro, significa dar-lhe acesso governado aos seus sistemas, aos seus documentos e às suas pessoas, sem lhe entregar as chaves de tudo. Essa camada é um produto de engenharia, e é a que os concorrentes deixam por construir.
A camada em falta
A camada de interoperabilidade tem de ser construída. Não vem pronta.
Challenge
A sua realidade abrange sistemas centrais, documentos não estruturados e decisões humanas que não vivem na API de ninguém.
Why it matters
Sem uma camada que abranja as três, um agente ou não consegue agir, ou age às cegas, e nenhuma é produção.
How Vesster-OS resolves it
Equipas forward-deployed constroem contexto pronto para agentes sobre os seus processos reais: ingestão que normaliza input multicanal, adaptadores tipados para os seus sistemas, e orquestração durável que mantém as pessoas no circuito onde devem estar. A camada é sua, documentada e portável.
Fronteira de identidade
Privilégio mínimo, por agente. O acesso é concedido, nunca assumido.
Challenge
A via rápida é dar ao agente uma credencial partilhada poderosa. É também a via pela qual um único comprometimento se torna uma violação.
Why it matters
Um agente que chega a todos os seus sistemas é uma nova classe de insider, a menos que o seu acesso seja delimitado e atribuível.
How Vesster-OS resolves it
Cada agente recebe a sua própria identidade efémera e de privilégio mínimo e um mapa explícito de que ferramentas pode invocar (allow-listing). O acesso é tipado, delimitado e revogável, e cada ação é atribuível a uma identidade de agente específica na trilha de auditoria.
Capacidades tipadas
Um agente só pode chamar aquilo que lhe foi explicitamente entregue.
Challenge
"O agente pode usar qualquer ferramenta" é conveniente numa demo e inaceitável em produção.
Why it matters
O acesso descontrolado a ferramentas (OWASP ASI02) é um dos principais riscos agênticos: a diferença entre um ator delimitado e um não governado.
How Vesster-OS resolves it
Cada ferramenta declara uma capacidade tipada: ação, argumentos, âmbito e uma credencial efémera. O agente invoca apenas capacidades que lhe foram concedidas; um ponto de decisão de política autoriza cada chamada privilegiada antes de correr.
Fronteira de dados e sensibilidade
Os dados sensíveis são classificados antes de se moverem. E, na maioria das vezes, não se movem.
Challenge
Chegar ao contexto significa tocar em dados regulados e pessoais. Para onde esses dados podem ir é uma questão legal, não de conveniência.
Why it matters
Um único caminho de dados descuidado transforma um agente útil num incidente de conformidade.
How Vesster-OS resolves it
Um classificador de sensibilidade etiqueta os dados na ingestão (fail-closed, on-prem por defeito); a etiqueta encaminha-os. Dados regulados e PII permanecem dentro do seu perímetro; apenas cargas de trabalho não sensíveis podem chegar a um modelo em região da UE, e apenas se o permitir. A proveniência viaja com cada valor, para que a trilha de auditoria saiba sempre de onde veio o contexto.
Conformidade e Soberania
Conformidade que consegue operar, e soberania que consegue provar.
A conformidade aqui não é um documento que arquiva. É uma camada que corre. Cada obrigação é um controlo testável, versionado e assinado que emite um veredicto legível por máquina que o fluxo de trabalho tem de obedecer. A sua equipa de conformidade controla as regras e consegue prová-lo.
Todas as condições satisfeitas, o agente prossegue sem intervenção humana.
Parcialmente cumpridas, prossegue sob restrições documentadas (registo, revisão, âmbito).
Uma condição rígida falha, a transação é bloqueada. Sem caminho de exceção.
O peso regulatório não pode ser delegado, um humano decide; o agente apenas analisa.
Política que a sua equipa controla
A sua equipa de conformidade controla as regras, e consegue prová-lo.
Challenge
Quando as regras estão enterradas no código da aplicação, a conformidade não as consegue inspecionar, alterar ou atestar. Está a confiar na palavra da engenharia.
Why it matters
Uma regra que ninguém fora da equipa de desenvolvimento consegue ler ou assinar não é um controlo que um regulador reconheça.
How Vesster-OS resolves it
Política como código: as obrigações são regras declarativas, versionadas, testáveis, assinadas criptograficamente e aprovadas antes da implementação. O mecanismo está claramente separado da decisão: o fluxo de trabalho aplica; a política decide. As políticas expiram por TTL, por isso a obsolescência é visível e cada regra é revista dentro do prazo.
A trilha de evidência
Cada decisão deixa um registo que um regulador pode inspecionar.
Challenge
"Confiem em nós, ficou registado" não é evidência. Registos mutáveis não provam nada.
Why it matters
As regras de resiliência operacional e de IA de alto risco esperam rastreabilidade demonstrável e à prova de adulteração, não uma reconstrução a posteriori.
How Vesster-OS resolves it
Uma trilha de evidência apenas de acréscimo, encadeada por hash (Merkle) num armazenamento WORM, escrita antes de a decisão ser confirmada. Sem armazenamento de evidência, não há decisão: falha em segurança (fail closed). Overrides humanos, handoffs e eventos de kill-switch fazem parte da mesma trilha: quem, quando, porquê, e o estado anterior.
O horizonte regulatório
Construído para as regras que aí vêm, não apenas para as que já cá estão.
Challenge
O regime é um alvo em movimento: EU AI Act, regras de resiliência operacional, direito à explicação, residência de dados, GDPR.
Why it matters
Uma stack conforme hoje e rígida amanhã é uma responsabilidade com temporizador. E "seremos conformes em 2027" desqualifica-o perante um comprador sério.
How Vesster-OS resolves it
Pronto para o AI Act, por conceção, já hoje. O VessterOS é construído segundo a ISO 42001 (o sistema operativo de gestão de IA) por conceção, sobre fundações certificadas ISO 27001/27017/27018, com supervisão humana, autonomia gradual, registo e documentação técnica prontos hoje. Para serviços financeiros, a postura de resiliência operacional (controlos de terceiros ao estilo DORA, planos de saída testados, registo de evidência) está incorporada: prova de profundidade, aplicada a toda a empresa.
Residência de dados e implementação em qualquer lugar
Os seus dados nunca saem das suas paredes.
Challenge
Um banco sob regras de residência precisa de uma implementação fundamentalmente diferente da de um hospital. O pronto a usar nunca passa na revisão.
Why it matters
Onde os dados correm é muitas vezes a única condição que decide se um projeto é sequer legal.
How Vesster-OS resolves it
A implementação é encaminhada por soberania de dados e adaptada ao seu regime: dados regulados e PII permanecem no seu perímetro; apenas cargas de trabalho não sensíveis podem chegar a um modelo em região da UE, se o permitir. Implemente na sua VPC, on-premises ou totalmente isolado (air-gapped), agnóstico de fornecedor (Anthropic / Mistral / código aberto nas suas próprias GPUs), para que a escolha do modelo nunca dite onde os seus dados vivem.
Anti-lock-in
Anti-Lock-In, a garantia, não a folha de especificações
A razão para dizer sim com confiança: cada parte da stack, incluindo nós, é substituível sem reescrever a fundação. A portabilidade é uma restrição de engenharia à qual nos vinculamos como terceiro ao abrigo das regras dos seus reguladores.
What you own
O que o VessterOS lhe deixa é um ativo que é seu e que opera.
O VessterOS é a forma como entregamos governação; o projeto deixa-lhe um ativo sob o seu controlo, para que o seu roadmap continue a avançar quando saímos de cena, portável, aberto e pronto para saída por contrato.
Porquê agora
Two clocks are already running.
Clock 01
O relógio regulatório
O Artigo 4 do EU AI Act está em vigor: desde 2 de fevereiro de 2025, toda a organização que implemente IA deve garantir que os seus operadores têm literacia de IA suficiente; as autoridades nacionais começaram a supervisioná-lo a partir de agosto de 2025. A adoção governada é uma obrigação legal no presente, em vigor agora.
Clock 02
O relógio competitivo e de custos
O cemitério de pilotos está a encher: a BCG conclui que ~60% das empresas não retiram valor da IA, e a Thoughtworks projeta que ~40% dos projetos agênticos serão cancelados até 2027. Cada mês de atraso é um mês de custo sem retorno em produção, enquanto os concorrentes que governam os seus agentes até à produção alargam a sua vantagem.
As perguntas que um comité de risco realmente faz
What a risk committee actually asks.
Quatro objeções que um comprador sério traz à governação. Respostas diretas, sem teatro.
01"A nossa governação de TI já cobre isto."
Cobre software determinístico. Os agentes são probabilísticos e derivam a cada atualização de modelo: adaptar um controlo de mudanças pensado para código fixo a algo que muda diariamente não se sustenta. O VessterOS é governação construída para agentes: autonomia gradual, avaliações como limiar de confiança, monitorização de deriva e conformidade como política executável, concebida para sistemas probabilísticos, não forçada a encaixar.
02"Como é que um comité de risco aprova uma caixa preta?"
Não é uma caixa preta para o seu comité. Cada decisão de um agente deixa uma trilha de evidência apenas de acréscimo, encadeada por hash, escrita antes de a decisão ser confirmada: sem evidência, não há decisão. A política é código que a sua equipa de conformidade controla, versiona e assina. E as decisões de consequência resolvem-se em REQUIRE-HUMAN por política: o agente analisa, um humano decide. O comité aprova um controlo documentado e testável, não uma promessa.
03"Para onde vão de facto os nossos dados?"
Para onde decidir. A implementação é encaminhada por soberania de dados: dados regulados e PII permanecem dentro do seu perímetro; apenas cargas de trabalho não sensíveis podem chegar a um modelo em região da UE, e apenas se o permitir. Implemente na sua VPC, on-premises ou totalmente isolado (air-gapped). Os seus dados nunca saem das suas paredes: isso é uma arquitetura, não uma definição.
04"Não nos estamos apenas a prender a vós?"
Não, e está no contrato. Agnóstico de fornecedor por conceção (3+ opções de gateway documentadas antes do go-live), código-fonte e pesos em escrow, um plano de saída documentado e testado, e cada componente substituível. Impomo-nos a nós próprios ser um terceiro substituível ao abrigo das regras dos seus reguladores. É dono do runtime e dos agentes; o seu roadmap continua a avançar quando saímos de cena.
The moat, applied