Guia de Governança de Agentes MCP do Databricks Unity AI Gateway

A adoção de IA empresarial atingiu um muro de governança. Organizações que se apressaram em implantar aplicações baseadas em LLM agora enfrentam uma realidade desconfortável: dezenas de agentes fazendo chamadas de API em vários provedores, servidores MCP acessando dados sensíveis sem trilhas de auditoria adequadas e nenhuma maneira unificada de rastrear o que tudo isso custa. A Databricks chama isso de "dispersão de agentes", e em abril de 2026 eles lançaram uma resposta direta: Unity AI Gateway.

Este guia cobre o que o Unity AI Gateway realmente faz, como seu modelo de governança MCP funciona na prática e onde ele se encaixa na pilha de infraestrutura de IA empresarial mais ampla.

Por que isso importa: O problema da dispersão de agentes

A mudança para fluxos de trabalho de IA agentes criou uma lacuna de governança que as ferramentas anteriores não foram projetadas para lidar. Um único agente de produção pode:

• Chamar três diferentes provedores de LLM na mesma sessão
• Invocar cinco servidores MCP externos para acessar Slack, GitHub e bancos de dados internos
• Executar como uma conta de serviço compartilhada com permissões mais amplas do que qualquer humano teria
• Gerar custos que são atribuídos a um item de linha "orçamento de IA" abrangente

Os controles tradicionais de IAM em nuvem não foram projetados para esse padrão. Você pode restringir o que uma conta de serviço pode fazer no nível da infraestrutura, mas não pode facilmente dizer "este agente pode usar Claude para tarefas de raciocínio, mas deve direcionar a geração de código para GPT-6, e só pode acessar o servidor MCP do GitHub se o usuário solicitante tiver acesso de gravação a esse repositório".

Esse é o problema que o Unity AI Gateway foi projetado para resolver—não adicionando outra camada de governança em cima de sua pilha existente, mas estendendo o modelo de permissão do Unity Catalog que você já pode usar para governança de dados diretamente para sua camada de IA.

O que é o Unity AI Gateway?

O Unity AI Gateway é o componente de governança de IA do Unity Catalog da Databricks, estendido para cobrir endpoints de LLM, servidores MCP e agentes de codificação. Anteriormente, era conhecido como Mosaic AI Gateway—o renomeio para "Unity AI Gateway" em abril de 2026 sinaliza a integração mais profunda com o controle de acesso existente e a infraestrutura de auditoria do Unity Catalog.

A arquitetura central posiciona o AI Gateway como uma camada de proxy que fica entre seus agentes e os sistemas externos que eles chamam. Cada solicitação—seja uma conclusão de LLM da API da Anthropic ou uma chamada de ferramenta para um servidor MCP do GitHub—passa pelo AI Gateway, onde é avaliada em relação às políticas de acesso, monitorada para conformidade e registrada em uma tabela de auditoria centralizada.

Do ponto de vista do desenvolvedor, isso é semelhante a como os gateways de API funcionam em arquiteturas de microsserviços, mas com duas adições específicas para empresas: propagação de identidade (para que o gateway saiba quem iniciou a solicitação, e não apenas qual serviço está fazendo isso) e integração com o Unity Catalog (para que as permissões sejam expressas nos mesmos termos que suas equipes de dados já usam).

Governança MCP: O Diferencial Chave

A adição mais significativa em abril de 2026 é a governança de servidores MCP de primeira classe. O Modelo de Contexto de Protocolo passou de uma curiosidade de pesquisa para uma infraestrutura padrão—97 milhões de downloads mensais de SDK até março de 2026—e a maioria das implantações de IA empresarial agora envolve agentes que usam servidores MCP para acessar sistemas internos.

O problema é que os servidores MCP são tipicamente autenticados com credenciais de conta de serviço, o que significa que cada agente que se conecta recebe o mesmo nível de acesso, independentemente de quem iniciou a solicitação. Um agente ajudando um analista júnior pode acessar os mesmos dados financeiros que um analista sênior.

O Unity AI Gateway aborda isso com execução em nome de (OBO): quando um agente chama um servidor MCP através do AI Gateway, o servidor recebe a identidade e permissões do usuário solicitante, e não da conta de serviço do agente. O servidor MCP então aplica as permissões do Unity Catalog com base nessa identidade de usuário.

Todo servidor MCP acessível através do workspace está registrado no Unity Catalog como um objeto de catálogo. Isso significa:

• Descoberta: As equipes podem navegar pelos servidores MCP disponíveis na mesma interface que usam para encontrar conjuntos de dados e tabelas.
• Controle de acesso: Os administradores concedem ou revogam o acesso ao servidor MCP com a mesma sintaxe GRANT e REVOKE usada para permissões de tabela.
• Registro de auditoria: Cada chamada MCP registra a identidade do solicitante, nome da conexão, método HTTP e status OBO em uma tabela de auditoria centralizada consultável via SQL.

Esse último ponto é mais importante do que pode parecer. Quando sua equipe de conformidade pergunta "quais agentes acessaram o servidor MCP de dados do cliente no último trimestre, e em nome de quem?", a resposta é uma consulta SQL em vez de um projeto de análise de logs de várias semanas.

Servidores MCP Gerenciados vs. Externos

A Databricks distingue entre dois tipos de servidores:

Servidores MCP gerenciados são hospedados pela Databricks e pré-integrados com o Unity Catalog. O conjunto inicial inclui:

• Genie: Consultas em linguagem natural contra seus dados do Databricks
• Pesquisa Vetorial: Recuperação semântica de documentos indexados
• Funções UC: Ferramentas personalizadas registradas como funções do Unity Catalog
• DBSQL: Execução SQL direta contra tabelas do Unity Catalog

Servidores gerenciados herdam automaticamente as permissões do Unity Catalog—não há configuração adicional necessária para aplicar políticas de segurança em nível de linha ou mascaramento de coluna que já existem em suas tabelas.

Servidores MCP externos são de terceiros ou auto-hospedados (GitHub, Slack, APIs internas). Estes são registrados no Unity Catalog com uma definição de conexão, e o AI Gateway aplica a autenticação OBO ao direcionar solicitações para eles. As permissões do Unity Catalog controlam quais usuários e principais de serviço podem acessar cada servidor externo.

Salvaguardas de LLM: Além da Simples Limitação de Taxa

O sistema de guardrails do AI Gateway se expandiu significativamente em 2026. O conjunto atual de recursos cobre:

Limitação de Taxa

Limitações de taxa se aplicam em três granularidades:

• Nível de endpoint: Máximo de solicitações por minuto entre todos os chamadores
• Nível de usuário: Limites por identidade para evitar custos excessivos de um único agente mal configurado
• Nível de grupo: Orçamentos escopados por departamento ou equipe aplicados na camada de solicitação

Quando uma solicitação excede um limite de taxa, ela recebe uma resposta 429. Outros agentes compartilhando o endpoint não são afetados.

Failover Automático

O AI Gateway suporta endpoints multi-modelo onde vários provedores de LLM são listados em ordem de prioridade. Quando o modelo primário retorna um 429 (limitação de taxa) ou 5XX (erro do servidor), o gateway redireciona automaticamente para o próximo modelo listado—nenhuma alteração de código de aplicação necessária.

Isso é útil para confiabilidade, mas também é um mecanismo de otimização de custos: você pode listar um modelo de fronteira caro primeiro e um modelo mais rápido e barato como fallback, capturando casos em que o modelo premium não está disponível em vez de falhar completamente a solicitação.

Guardrails LLM-Judge

O sistema de guardrails usa uma abordagem LLM-judge—configurável com modelos e prompts personalizados—para impor políticas que não podem ser expressas como regras simples. As verificações disponíveis incluem:

• Detecção e redação de PII: Identificar e mascarar informações pessoais em entradas ou saídas antes de registrar
• Segurança de conteúdo: Bloquear ou sinalizar saídas que violam políticas configuradas
• Defesa contra injeção de prompt: Detectar tentativas de substituir instruções do sistema através da entrada do usuário
• Prevenção de exfiltração de dados: Sinalizar solicitações que parecem estar extraindo dados em massa