O log da resposta guarda o que o agente disse, não o caminho que ele percorreu. O trace do Foundry guarda a ordem dos passos, as falhas e os tokens de cada volta, e deixa o conteúdo para uma tabela protegida. Veja o que o trace mostra, quem vê o conteúdo e o que mudou no Agent Framework 1.22.0, com um exemplo executado localmente.
O prompt do usuário estava limpo. A instrução hostil entrou pelo conteúdo que a ferramenta trouxe de volta — e é essa porta que quase nenhuma revisão de segurança olha. Este artigo reúne o que mudou no OWASP Top 10 de 2026, os dois pontos de interceptação do Prompt Shields, o spotlighting que vem desligado por padrão, o que a especificação do MCP protege e o que ela deixa para você — e mostra o que precisa estar de pé para uma injeção bem-sucedida não virar impacto.
O Microsoft Entra Agent ID chegou à disponibilidade geral, e no Microsoft Foundry a identidade de agente já vem provisionada. Entenda blueprint, a identidade compartilhada do projeto e o RBAC que não acompanha a publicação, por que o patrocinador é obrigatório na criação, como os workflows de saída transferem o patrocínio para evitar agentes órfãos e por que o sujeito do token decide onde a política de Acesso Condicional realmente mira.
Private endpoint controla ingresso; ele não autentica ninguém e não decide para onde o agente escreve depois. As três fronteiras de uma carga de IA — entrada, identidade e saída —, as três zonas de DNS que o Foundry exige, os papéis que foram renomeados e o controle de egresso que quase todo projeto deixa aberto.