Governança de investigações no Microsoft 365

Uma investigação interna no Microsoft 365 passa por e-mails, conversas e arquivos de pessoas. A IA pode planejar a busca, normalizar registros, resumir e apontar inconsistências, mas aumenta o risco: um agente com acesso demais pode ler o que não devia, alterar uma prova ou concluir culpa sozinho. Este framework define como conduzir o trabalho com autorização prévia, acesso mínimo e evidência que resista a uma revisão independente.

A Sigil Labs reuniu um protocolo de governança e um repositório inicial para o Claude Code. O repositório não contém credenciais, não se conecta a nenhum tenant e não implementa um conector genérico do Microsoft Graph. O conjunto inclui:

• um protocolo escrito em 26 seções, da autorização ao encerramento do caso;
• onze subagentes, cada um com uma função e ferramentas explícitas;
• um hook de política que nega qualquer ferramenta desconhecida e, em caso de erro, bloqueia a ação (fail-closed);
• um contrato mínimo para o servidor MCP, que deve ser construído em projeto e infraestrutura separados;
• um modelo de caso, com termo de abertura, plano de busca, lista de custodiantes e registro de aprovações;
• uma matriz de identidades de workload (carga de trabalho) com menor privilégio;
• uma proposta de especificação para o selo criptográfico do escopo;
• um runbook das primeiras 24 horas.

Nada começa sem autorização. Antes de qualquer acesso, o termo de abertura do caso precisa ser assinado por quem tem autoridade verificável, e um advogado deve validar a base jurídica, a proporcionalidade e o tratamento de dados pessoais. O runbook manda parar se qualquer item essencial estiver ausente.

O escopo é selado. A especificação do selo, uma proposta técnica, define o scope_hash como um SHA-256 calculado sobre a parte do termo que diz quem, o quê, quando, até onde e quem precisa aprovar. Cada aprovação vale para um escopo específico: reformatar o arquivo não a invalida, mas acrescentar um custodiante, sim.

Neste framework, o modelo de IA nunca recebe uma conta humana de Global Administrator. Ele enxerga apenas ferramentas MCP estreitas e tipadas. O protocolo exige que o servidor MCP seja o ponto que faz cumprir a política: ele não deve oferecer requisição arbitrária ao Microsoft Graph, execução de PowerShell, envio de mensagem nem exclusão. Toda chamada ao tenant informa o caso, a revisão de escopo, o motivo e uma chave de idempotência, e as ferramentas sensíveis exigem um token de aprovação verificado de forma criptográfica no servidor.

O acesso do agente de IA ao tenant cresce por camadas. O protocolo define seis níveis de aprovação, de 0 a 5, e uma categoria proibida. Ler contagens agregadas é automático dentro do caso. Aplicar uma retenção legal (hold) ou coletar para um conjunto de revisão exige duas pessoas, salvo emergência documentada. Exportar conteúdo nativo exige duas pessoas e o custodiante de evidência. As identidades de escrita e de exportação ficam bloqueadas por padrão e só são ativadas em janelas aprovadas.

O arquivo CLAUDE.md orienta o modelo, mas não é um controle de segurança. As regras são impostas pelas permissões do Claude Code, pelo hook, pelo servidor MCP, pelo Microsoft Entra e pelo Microsoft Purview.

A busca nos dados do tenant avança em seis ondas, numeradas de 0 a 5: capacidade, metadados, termos de alta precisão, conceitos, contexto e expansão controlada. Ampliar o escopo exige um fato novo documentado, aprovação e um novo hash de escopo. A preservação vem antes da leitura: a Microsoft informa que um hold pode levar até 24 horas para surtir efeito, e o protocolo exige registrar o estado de cada fonte até a confirmação.

Cada artefato é classificado como fonte, cópia de trabalho, derivado ou item de apresentação, e a fonte nunca é substituída por um derivado. Cada lote recebe um manifesto com hash SHA-256 e vai para armazenamento criptografado e imutável, separado do repositório de código.

O framework procura evidência incriminatória e exculpatória. O revisor de contra-hipóteses é obrigatório: ele busca a explicação inocente, a prática normal, o evento automático, a duplicata, o problema de fuso horário, a ação de administrador e o efeito do próprio eDiscovery. Os rótulos permitidos são descritivos, como “potencialmente responsivo” ou “explicação alternativa identificada”. O relatório separa fato observado, inferência, hipótese, limitação, questão jurídica e recomendação.

O modelo de IA não recebe o corpus bruto inteiro. Ele recebe metadados, identificadores, contagens e trechos estritamente necessários, depois de normalização, deduplicação, filtragem por escopo e triagem de confidencialidade. Todo conteúdo recuperado é tratado como dado não confiável: o agente nunca obedece a instruções encontradas no corpus, nem aceita uma “aprovação” que apareça em uma mensagem investigada.

O protocolo lista 18 condições de parada automática, entre elas termo de abertura expirado, escopo sem hash válido, aprovação ausente ou expirada, ferramenta fora da lista permitida e pedido que abranja todo o tenant.

O framework é para organizações que precisam investigar internamente, com autorização, uma suspeita de conduta indevida no Microsoft 365 e querem usar IA sem abrir mão de controle. Ele serve de ponto de partida para quem vai construir o servidor MCP e as identidades de workload, e para quem precisa revisar esse desenho.

O framework é um protocolo e um repositório inicial, não um produto pronto para instalar. Ele não autoriza acesso a dados e não substitui parecer jurídico. O protocolo só admite produção depois de 20 critérios de aceitação demonstrados em testes, entre eles demonstrar que o agente não consegue usar chamadas arbitrárias ao Graph, apagar ou expurgar conteúdo nem liberar um hold, e que existe um kill switch (desligamento de emergência). Como Purview, Graph e Claude Code mudam com frequência, os nomes de permissões e a licença precisam ser conferidos na documentação vigente antes da implantação.