Agentes precisam de limites antes de precisarem de mais ferramentas

Quanto mais ferramentas um agente recebe, maior fica a superfície de decisão que precisa ser protegida. Estou usando uma revisão em cinco camadas: entrada não confiável, escopo das ferramentas, dados sensíveis, validação da saída e operação com auditoria, timeout, retry limitado e kill switch. O OWASP GenAI LLM Top 10 2026 destaca riscos como prompt injection, divulgação de informações sensíveis, tratamento inseguro da saída e excesso de agência: https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/ . A regra prática que estou levando para os fluxos é: texto recuperado pode informar, mas não pode ganhar autoridade só porque foi lido pelo agente. Qual limite de segurança vocês consideram obrigatório antes de liberar uma nova tool?