diff --git a/.github/workflows/agent-pr-ready-automerge.yml b/.github/workflows/agent-pr-ready-automerge.yml
index 94199d0..1108227 100644
--- a/.github/workflows/agent-pr-ready-automerge.yml
+++ b/.github/workflows/agent-pr-ready-automerge.yml
@@ -11,9 +11,12 @@
 # mergeia quando todo required check (o check-run `checks` do ci.yml) está
 # verde e o PR é mergeável. Nada a pollar, nada a confiar localmente.
 #
-# Permissions mínimas: a mutation de auto-merge exige só `pull-requests:
-# write` — `contents: read` (default) basta para o checkout; nada de token de
-# push para o código do branch de uma PR (mesmo em repo com colaboradores).
+# Permissions: a mutation GraphQL `enablePullRequestAutoMerge` exige
+# `contents: write` + `pull-requests: write` com o GITHUB_TOKEN built-in —
+# VERIFICADO AO VIVO (PR #2, 2026-08-20): reduzir para `contents: read` +
+# `pull-requests: write` faz o job falhar com "GitHub GraphQL: Resource not
+# accessible by integration". Não "otimizar" de volta para read — quebra o
+# safety net.
 
 name: PR Ready + auto-merge
 
@@ -23,7 +26,7 @@ on:
     branches: [main]
 
 permissions:
-  contents: read
+  contents: write
   pull-requests: write
 
 jobs: