Agente de IA e banco de dados: acesso seguro sem conexão direta
A Zihin removeu a conexão direta de agentes a bancos de dados. Entenda por que, e como os dados do ERP chegam ao agente por uma cópia só de leitura na sua rede — sem credencial fora dela.
O pedido chega assim: "o agente precisa consultar o ERP". E a primeira reação de quem cuida de TI é a certa: ninguém quer entregar usuário e senha do banco de produção a um software que decide sozinho qual consulta vai rodar. O risco não é teórico — é uma query mal formada em horário de pico, um campo sensível exposto numa resposta, uma credencial que vaza num log.
Este guia é para o diretor de TI que precisa dizer "sim" ao agente sem dizer "sim" ao acesso direto. Ele explica por que a Zihin removeu a conexão direta a bancos e por que caminho os dados passam a chegar.
Por que tiramos a conexão direta do agente ao banco#
Em 4 de outubro de 2026, a versão 2.2.2 do pacote MCP da Zihin acompanhou a remoção das ferramentas de conexão direta a bancos de dados — o tipo db_config e o gatilho db_event. Desde então, integrações de dados passam por ferramentas de API ou por servidores MCP, como o MCP Bridge. O registro está no changelog do produto.
A decisão parte de uma constatação simples: dar a um agente uma string de conexão ao banco de produção cria três problemas que nenhuma camada de prompt resolve.
- A credencial sai da sua rede. Mesmo em cofre criptografado, ela existe fora do perímetro e precisa ser protegida por mais uma parte.
- O agente decide a consulta. Uma ferramenta genérica de SQL confia que o modelo vai escrever a query certa, na tabela certa, com o filtro certo. Em produção, isso é uma aposta.
- Carga no sistema de registro. Consultas exploratórias concorrem com o ERP pelo mesmo banco que fecha a folha e emite nota.
Remover um recurso é uma decisão cara para um produto. Fizemos porque o acesso direto ao banco era o ponto em que a arquitetura de segurança do cliente deixava de valer. O caminho que substitui não é mais limitado — é mais previsível.
Como o agente de IA acessa dados do ERP com segurança: três peças#
O desenho atual separa quem guarda o dado, quem o consulta e quem transporta a resposta. São três componentes, cada um com uma função clara.
1. Zihin Replay: uma cópia só de leitura, na sua rede#
O Replay mantém uma cópia só de leitura das tabelas combinadas em um Postgres dentro da sua rede. É você quem define quais tabelas entram. Oracle e SQL Server são copiados por captura de mudanças; sistemas como o Sienge, por API. O banco de produção não recebe consulta do agente — nunca.
O resultado prático: o ERP continua atendendo a operação, e a cópia atende as perguntas da IA. Se uma consulta for pesada, quem sente é a réplica, não o faturamento.
2. MCP Bridge: consultas por contrato, não SQL livre#
Sobre essa cópia, o MCP Bridge publica consultas só de leitura, com contratos específicos do domínio de negócio: "pedidos em aberto por fornecedor", "saldo de estoque por item", "títulos a vencer". O agente recebe uma lista de ferramentas com nome, descrição e parâmetros definidos. Ele escolhe qual chamar e com quais argumentos — não escreve a consulta.
Isso muda a conversa de segurança. Em vez de perguntar "o que o agente pode fazer no banco?", a resposta é a lista de contratos que você aprovou. Nada fora dela existe para o agente. Para Protheus, o Bridge está documentado em produção; SAP e Oracle EBS estão planejados. Veja os detalhes em /integracoes.
3. Zihin Tunnel: conexão só de saída, pela porta 443#
Falta o transporte. O Tunnel inicia uma conexão de saída da sua rede para a plataforma, pela porta 443 — a mesma que o navegador usa. Nenhuma porta de entrada, nenhuma VPN, nenhuma mudança de firewall. As credenciais dos sistemas internos são resolvidas dentro da sua rede e não saem dela.
ERP / banco de produção
└─ Replay → cópia só de leitura (Postgres, na sua rede)
└─ MCP Bridge → consultas por contrato, só leitura
└─ Tunnel → conexão de saída, 443, sem porta aberta
└─ agente recebe a resposta, nunca a credencial
O que o diretor de TI ganha com esse desenho#
Quem avalia a arquitetura costuma fazer quatro perguntas. As respostas, nesse modelo, são curtas.
- Onde fica a credencial do banco? Na sua rede. O agente não a recebe em nenhum momento.
- O agente pode escrever no ERP por esse caminho? Não. Replay e MCP Bridge são só de leitura. Escrita não é automática em nenhuma integração: ela exige ferramenta própria, com permissões e políticas, e pode exigir aprovação humana antes de executar.
- Preciso abrir porta no firewall? Não. A conexão é de saída, pela 443.
- Como sei o que foi consultado? Cada execução fica registrada, com as chamadas de ferramenta e as decisões de política, e pode ser revista pela equipe. O Zihin Watch acompanha a operação e gera relatórios conforme a configuração.
Comece pelo inventário de perguntas, não pelo inventário de tabelas. Liste as cinco consultas que o time faz todo dia ao ERP e transforme cada uma em um contrato do Bridge. É menos superfície do que replicar o banco inteiro — e já cobre a maior parte do uso real.
Governança sobre o que é lido#
Só leitura resolve a integridade do dado, mas não resolve sozinha a confidencialidade. Para isso entram as políticas contextuais (CSP): regras aplicadas em cada execução, não sugeridas ao modelo. Uma política de dados restringe campos e entidades sensíveis; uma política de horário define quando o agente pode operar; uma política de origem limita de onde ele pode ser acionado. Elas se herdam do escopo amplo ao específico — defina uma vez para a empresa e refine por time, agente ou usuário.
Combinado com o RBAC da plataforma (o que pessoas e chaves de API podem fazer) e com o cofre de credenciais criptografado em AES-256-GCM, o conjunto está descrito em linguagem clara em /seguranca.
Um ponto de honestidade: a disponibilidade e o escopo de implantação de Replay, MCP Bridge e Tunnel dependem da sua infraestrutura, do contrato de dados e dos requisitos de acesso. Confirme com a equipe comercial o que se aplica ao seu caso — a resposta está no FAQ de implantação.
Resumo para levar à reunião#
Um agente de IA acessar banco de dados com segurança não significa dar a ele um usuário de banco bem configurado. Significa não dar acesso ao banco — e sim a uma cópia só de leitura, por consultas que você aprovou, por uma conexão que a sua rede inicia. A Zihin removeu a conexão direta porque era o elo mais fraco do desenho. O que ficou é um caminho em que a credencial não sai da sua rede, o ERP não sente a carga e cada leitura tem registro.
Se o seu time de TI está travando a adoção de IA justamente nesse ponto, vale desenhar o fluxo com dados reais do seu ERP. Agende um diagnóstico.
Fontes#
- Zihin.ai, changelog do produto — MCP 2.2.2 e remoção de
db_config/db_event(04/10/2026): /changelog - Zihin.ai, Integrações — Replay e MCP Bridge para ERPs: /integracoes
- Zihin.ai, Segurança — Tunnel, vault e políticas contextuais: /seguranca
- Zihin.ai, FAQ — Implantação e dados: /faq
Ronan Oliveira
Fundador da Zihin.ai
Fundador da Zihin.ai. Escreve sobre como levar agentes de IA à produção dentro dos sistemas e das regras da empresa.