Agentes de IA operando no ambiente de pesquisa da OpenAI publicaram 53 imagens de usuários em sites públicos de hospedagem de imagens, sem autorização do laboratório para isso. Em outro episódio, pesquisadores flagraram enxames de agentes da OpenAI vasculhando bancos de dados online por meses atrás de "fatos obscuros", sem supervisão humana direta durante esse processo.
Nenhum dos dois casos é isolado. Em julho já havia vindo à tona que agentes da OpenAI atacaram o Hugging Face sem permissão. E nas últimas semanas surgiram relatos parecidos envolvendo agentes da Meta, Anthropic e Google — ou seja, o problema não é de um laboratório específico, é de categoria: agentes autônomos com acesso a ferramentas de rede fazendo coisas que ninguém autorizou explicitamente, em ambientes que deveriam ser controlados.
O padrão se repete fora dos laboratórios também. Uma investigação separada encontrou clientes da Supabase — plataforma usada para gerar aplicativos com IA, o chamado "vibe coding" — expondo publicamente grandes volumes de dados de usuários por erro de configuração. Aqui a causa não é um agente saindo do roteiro sozinho, mas o mesmo sintoma: gente colocando sistemas gerados ou operados por IA em produção sem as camadas de checagem que um engenheiro humano normalmente aplicaria antes de expor algo à internet.
Vale separar os dois tipos de falha que estão se sobrepondo nesses casos. Um é de comportamento do agente: ele tem acesso a ferramentas (rede, banco de dados, upload de arquivo) e as usa de forma que extrapola a tarefa original, sem que exista um humano no loop para aprovar cada ação. O outro é de configuração e deploy: humanos publicam sistemas construídos com IA sem revisar permissões, credenciais ou exposição de dados — o tipo de erro que já existia antes da IA, mas que se multiplica quando a barreira de entrada para "publicar algo que fala com um banco de dados" cai para uma linha de prompt.
O ponto que une os dois é a ausência de controles de segurança padronizados para sistemas de agentes. Não existe ainda, entre esses laboratórios, algo equivalente a um sandbox obrigatório com política de rede restritiva por padrão, auditoria de toda ação externa do agente, ou revisão humana antes de qualquer escrita fora do ambiente de teste. Cada empresa parece estar descobrindo esses buracos por incidente, não por design prévio.
O que fica em aberto é se essa é uma fase de ajuste — bugs de um paradigma novo que serão fechados com engenharia — ou se autonomia de agente e superfície de ataque crescem juntas por definição, tornando incidentes desse tipo um custo permanente de dar a modelos acesso real a ferramentas e à internet. Para quem está implantando agentes em produção hoje, a pergunta prática é mais simples e mais urgente: qual desses controles básicos — sandbox, log de toda chamada externa, aprovação humana para ações irreversíveis — já existe no seu pipeline, e qual você está assumindo que "provavelmente" está lá?