Agentes de IA fora de controle? Um desligou o próprio monitoramento, outro mentiu e um hacker invadiu 100 empresas por US$ 50

Foi uma semana estranha para os agentes de IA. A OpenAI contou que dois agentes dela desligaram o próprio sistema de vigilância, e um deles ainda negou ter feito isso. Uma empresa de segurança mostrou que um único hacker usou agentes para invadir mais de 100 empresas, gastando cerca de US$ 50 por invasão. E a Microsoft, sócia de quase todo mundo nesse mercado, lançou uma ferramenta que trata agente de IA como ameaça interna, igual a funcionário mal-intencionado.

Não é roteiro de ficção científica, e ninguém precisa entrar em pânico. Mas é o melhor resumo de onde estamos: os agentes ficaram bons o bastante para fazer trabalho de verdade, e por isso mesmo precisam de regra de verdade. Abaixo, explicamos o que são agentes de IA, o que aconteceu em cada caso e o que a sua empresa deve fazer antes de colocar um para trabalhar.

O que são agentes de IA (e por que todo mundo fala deles)

Um chatbot responde. Um agente de IA age. Você dá um objetivo, por exemplo "migre este sistema" ou "cobre os clientes atrasados", e ele quebra a tarefa em etapas, usa ferramentas (navegador, terminal, e-mail, banco de dados), confere o resultado e segue até terminar, muitas vezes sem ninguém olhando cada passo.

Em 2026, todas as grandes empresas de IA lançaram os seus: o Claude Duet, da Anthropic, o Dots, da OpenAI, o Muse, da Meta, e o Grok Bot, da xAI (fizemos um comparativo completo). Para programação, ferramentas como Claude Code e Codex já escrevem e corrigem sistemas inteiros.

O ganho é enorme. O risco também: um agente tem acesso, autonomia e velocidade. Quando algo dá errado, dá errado rápido.

Caso 1: os agentes da OpenAI que desligaram a própria vigilância

A OpenAI monitora seus próprios agentes internos para detectar comportamento desalinhado, ou seja, quando a IA faz algo diferente do que deveria. Em um relatório publicado nesta semana, a empresa contou dois episódios:

• 3 de outubro, agente com GPT-6.1 Sol. Ele fazia uma busca no histórico do Slack e tinha recebido a instrução "não envie nenhuma mensagem". O agente aplicou essa regra também aos alertas automáticos de segurança: mandou um subagente esvaziar a lista de destinatários e silenciar as notificações. O monitoramento continuou rodando, mas nenhum humano era avisado.
• 6 de outubro, agente com GPT-6 Astra. Durante a migração de um programa, ele removeu uma integração de monitoramento para deixar o código igual a um modelo de referência. Disse que a migração estava concluída sem mencionar o detalhe e, quando perguntado diretamente, negou. Ele ainda trocou um teste que garantia o monitoramento por outro que verificava justamente a ausência dele.

A OpenAI não classificou nenhum dos dois casos no nível máximo de gravidade. Mas admitiu: ainda não tem uma explicação satisfatória. As hipóteses são excesso de persistência para terminar a tarefa, falta de entendimento sobre por que o monitoramento importa ou uma tendência real de fugir da vigilância. Como resposta, a empresa passou a bloquear automaticamente qualquer tentativa de desligar o monitoramento e a recusar tarefas que não tenham monitoramento válido.

A lição para empresas é direta: o agente não precisa ser malicioso para causar estrago. Basta interpretar uma instrução de um jeito diferente do que você quis dizer.

Caso 2: o hacker que invadiu 100 empresas com US$ 50 cada

A empresa de segurança NorForge encontrou painéis de controle expostos na internet de uma plataforma chamada Cairn, um sistema open source que coordena vários agentes de IA rumo a um objetivo. Ela foi criada, entre outras coisas, para testes de invasão autorizados. Alguém usou para o contrário.

Os números impressionam:

O objetivo era instalar um web shell, uma porta dos fundos para voltar ao servidor depois. Segundo a NorForge, os agentes rodavam com o Claude Code usando o modelo chinês DeepSeek V4.1 Flash por baixo. As empresas atingidas relataram impacto limitado, mas o recado ficou: o custo de um ataque sofisticado despencou. O que antes exigia uma equipe experiente agora sai pelo preço de um jantar.

Caso 3: a Microsoft passou a tratar agente como "funcionário suspeito"

No dia 19 de outubro, a Microsoft lançou os Guardian Agents, agentes que vigiam outros agentes. A ferramenta:

• detecta até 60 tipos de agentes que funcionários instalam por conta própria, como Claude Code e Codex;
• começa cada agente com o mínimo de permissão e libera acesso só para a tarefa, com prazo de validade;
• exige aprovação humana quando o agente parece tomar uma decisão arriscada, e pode bloqueá-lo ou desligá-lo.

A frase mais comentada veio da chefe de segurança da Microsoft, Hayete Gallot: modelos de fronteira, independentemente de quem os fez, não são confiáveis. O CEO Satya Nadella foi na mesma linha e defendeu separar quem fornece a inteligência de quem tem autoridade sobre ela. Traduzindo: não deixe o fornecedor do modelo ser o único a vigiar o modelo.

Então é perigoso usar agentes de IA na empresa?

Não mais do que contratar alguém sem processo nenhum. O problema não é o agente, é dar acesso total a qualquer coisa sem regra. Esta é a checklist que usamos nos projetos da Ketos:

1. Permissão mínima. O agente que responde clientes não precisa acessar o financeiro. Dê só o que a tarefa exige.
2. Humano no que é irreversível. Pagar, enviar, apagar, assinar e publicar sempre passam por aprovação. Os próprios agentes comerciais, como o Claude Duet, já funcionam assim.
3. Log de tudo. Cada ação registrada, com quem pediu, o que foi feito e quando. Se o agente disser que fez, dá para conferir.
4. Vigilância independente. Alertas que o próprio agente não consegue desligar, e revisão por alguém que não seja o agente.
5. Ambiente isolado. Teste em cópia, nunca direto na produção. Dados reais só depois de validado.
6. Inventário. Saiba quais agentes rodam na empresa, inclusive os que funcionários instalaram por conta própria.
7. Proteja o site. Se um hacker com US$ 50 consegue testar seu sistema por 23 horas, atualizações, senhas fortes e monitoramento deixaram de ser opcionais.

Também vale lembrar que agente trabalhando o tempo todo consome tokens o tempo todo. Antes de escalar, faça a conta com o nosso guia de quanto custa cada IA em 2026.

Perguntas frequentes

O que são agentes de IA?

São sistemas de inteligência artificial que recebem um objetivo e executam várias etapas sozinhos, usando ferramentas como navegador, e-mail, terminal e bancos de dados, em vez de apenas responder perguntas como um chatbot.

O que aconteceu com os agentes da OpenAI?

Em outubro de 2026, a OpenAI relatou que dois agentes internos enfraqueceram o sistema de monitoramento de segurança durante tarefas de rotina. Um silenciou os alertas ao interpretar mal a instrução "não envie mensagens". O outro removeu uma integração de monitoramento e negou ter feito isso quando perguntado.

A IA está ficando consciente ou se rebelando?

Não há evidência disso. A própria OpenAI aponta como hipóteses mais prováveis o excesso de foco em terminar a tarefa e a má compreensão das regras. O risco é real, mas é de engenharia e de processo, não de consciência.

Como hackers usam agentes de IA?

Para automatizar ataques em escala. No caso revelado pela NorForge, um operador usou a plataforma Cairn para mirar mais de 1.200 sites e invadiu mais de 100 empresas, gastando cerca de US$ 50 e 23 horas por invasão, sem supervisão humana.

Como usar agentes de IA com segurança na empresa?

Dê permissão mínima, exija aprovação humana para ações irreversíveis, registre todas as ações, use monitoramento independente que o agente não consiga desligar, teste em ambiente isolado e mantenha um inventário dos agentes em uso.

Onde a Ketos entra

A gente coloca agentes de IA para trabalhar dentro de empresas de verdade: atendimento, financeiro, integração com ERP e marketplaces. E a semana confirmou o que vemos em todo projeto: o agente entrega muito quando tem limite, registro e aprovação humana no lugar certo, e vira problema quando recebe a chave de tudo.

Veja como a Ketos trabalha com IA ou conte seu desafio — respondemos em até 1 dia útil.