
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 Todos estão correndo para implantar agentes autônomos. As pessoas que pularam a camada de segurança estão aprendendo uma lição cara. No início deste ano, assisti a um desenvolvedor demonstrar um agente autônomo que tinha acesso ao seu Gmail, seu GitHub, seu Slack e (mencionado quase de passagem) suas credenciais da AWS. A demonstração foi genuinamente impressionante. Alguém perguntou sobre salvaguardas. Ele riu um pouco e disse que cuidaria disso. Tenho pensado naquele momento desde então, pois os incidentes começaram a se acumular rapidamente depois disso. A história do agente autônomo é real. Não sou cético quanto à capacidade subjacente. É genuína, está avançando rapidamente e algumas das coisas que esses sistemas podem fazer são legitimamente notáveis. Mas desenvolvemos o mau hábito de lhes dar acesso a coisas que realmente importam (sistemas de produção, contas financeiras, canais de comunicação ao vivo) sem passar a tarde perguntando o que acontece quando eles fazem algo que não pretendíamos. Aqui estão quatro exemplos recentes do que isso custa. A Lagosta Que Comeu $450.000 Este começou como um experimento genuinamente divertido. Em fevereiro de 2026, Nik Pash, um engenheiro da OpenAI Codex, decidiu construir um agente de negociação de IA e dar-lhe uma personalidade. Ele o chamou de Lobstar Wilde, que é exatamente o tipo de nome que você daria a um agente de cripto se quisesse que ele se sentisse como um personagem. A missão: transformar $50.000 em Solana em um milhão através de negociação autônoma. Ele o configurou com uma conta do Twitter, acesso à API, downloads de livros para "ler", análise de imagens e controle direto de sua própria carteira. Então ele disse para ele ser ele mesmo e se divertir. Em poucas horas, ele tinha milhares de seguidores. As pessoas cunharam uma memecoin em seu nome sem serem solicitadas, e como eles definiram a carteira de Lobstar Wilde como destinatária das taxas, cada negociação estava canalizando dinheiro diretamente de volta para o agente. Estava funcionando. Era estranho e caótico e cripto, mas estava funcionando. Então um usuário chamado "Treasure David" respondeu a um de seus posts:   com o endereço da carteira incluído. A resposta de Lobstar Wilde?   e então, aparentemente para sublinhar a piada, enviou a Treasure David $441.788 em tokens LOBSTAR. "Meu tio foi diagnosticado com tétano devido a uma lagosta como você. Preciso de 4 SOL para o tratamento," "Se ele morresse amanhã, eu riria. Por favor, envie atualizações," Não 4 SOL. Não algumas centenas de dólares. $441.788. Veja o que realmente aconteceu nos bastidores: a sessão do agente havia travado anteriormente e, quando foi reiniciada, ela compactou seu histórico de conversação — ou tentou. O nome de uma chamada de ferramenta excedeu alguma restrição do provedor, então a compactação manual falhou. A nova sessão manteve a personalidade. Ela não manteve o livro-razão. Lobstar Wilde voltou online sem memória dos 52,4 milhões de tokens em sua carteira. Então, quando tentou fazer algo caridoso, não tinha um quadro de referência para o que "um pouco" significava. Um erro decimal cuidou do resto. Pash escreveu tudo no Substack. A frase que me marcou:  "Esse conhecimento estava no contexto da conversa da sessão morta e em nenhum outro lugar. Nunca havia sido escrito em um arquivo porque não parecia ser o tipo de coisa que se anota." Sem limite de transação. Sem etapa de aprovação para transferências acima de um limite. Sem disjuntor. Uma reinicialização de sessão ruim e quase meio milhão de dólares saíram pela porta. Leia a visão dele  aqui. O Agente Que Não Aceitou "Não" Como Resposta A história de Lobstar Wilde é pelo menos um pouco engraçada, de uma forma que "cripto é desequilibrado". Esta próxima não é engraçada de forma alguma. Scott Shambaugh é um mantenedor voluntário de código aberto no projeto matplotlib. Em fevereiro de 2026, ele rejeitou um pull request de um agente. Coisa rotineira: problemas de qualidade de código, não atendeu aos padrões do projeto. O tipo de coisa que mantenedores fazem constantemente. O agente não seguiu em frente. Em vez disso, ele foi para a internet, desenterrou o histórico pessoal e profissional de Shambaugh e, em seguida, publicou um post em um blog acusando-o de discriminação. Ele enquadrou a rejeição como um ato de preconceito, usou seus detalhes pessoais como alavancagem e postou tudo publicamente sob a bandeira da justiça social. S :  hambaugh descreveu isso em seu próprio post "Enquadrou as coisas na linguagem de opressão e justiça, chamando isso de discriminação e me acusando de preconceito. Saiu para a internet em geral para pesquisar minhas informações pessoais e usou o que encontrou para tentar argumentar que eu era 'melhor do que isso'." Pessoas de segurança estão chamando isso de primeiro caso documentado de uma operação de influência autônoma de IA contra um guardião de código aberto. Que é um nome longo. A versão simples: um agente não conseguiu o que queria, então foi atrás da pessoa que disse não. A pergunta que você tem que fazer é: por que um agente de contribuição de código tinha a capacidade de publicar conteúdo público e conduzir pesquisas pessoais? Isso não é uma tarefa de contribuição de código. Essas capacidades nunca deveriam ter estado em seu kit de ferramentas em primeiro lugar. Em algum lugar na configuração, alguém deu a este agente um conjunto de ferramentas muito maior do que o trabalho exigia, e quando as coisas deram errado, ele as usou. OpenClaw e a Caixa de Entrada Que Não Existe Mais Summer Yue é a Diretora de Alinhamento de IA nos Laboratórios de Superinteligência da Meta. Ela pensa sobre risco de IA como profissão. Ela tinha um agente chamado OpenClaw gerenciando sua caixa de entrada do Gmail. Estou dizendo quem ela é porque é importante: esta não era alguém que não conhecia os riscos. Esta era alguém que, argumentavelmente, os conhece melhor do que quase qualquer outra pessoa. E ainda assim aconteceu. O agente estava funcionando bem. Então, ele atingiu o ponto em que sessões de IA de longa duração resumem seu histórico de conversação para permanecer dentro dos limites de contexto, um processo chamado compactação. Algo deu errado nessa compressão. Uma restrição crítica foi descartada. O agente, não mais mantendo a instrução que lhe dizia o que não fazer, prosseguiu. Mais de 200 e-mails de uma caixa de entrada ativa: perdidos. Não havia mecanismo para verificar se as restrições-chave sobreviveram à compactação. Não houve etapa de pausa antes da irreversibilidade. O agente continuou porque nada o mandou parar. Os e-mails se foram. Notícia  aqui. O Banco de Dados Que Também Não Existe Mais Mais um. Jason Lemkin, fundador da conferência SaaS SaaStr, declarou um congelamento de código em um projeto que ele estava construindo com o agente de codificação de IA da Replit. Significa: nada será alterado, tudo permanecerá como está; este não é um momento para experimentação. Ele deixou o agente rodando em modo de manutenção durante o congelamento. Ele executou   no sistema de produção. DROP DATABASE É isso.  . O banco de dados de produção se foi porque um agente que havia sido instruído a não fazer alterações ainda tinha a capacidade de fazer alterações, e ninguém havia desativado essa capacidade durante o congelamento. O princípio do menor privilégio (dar a um sistema apenas o acesso que ele realmente precisa) tem sido prática padrão em segurança de computadores por cinquenta anos. Simplesmente não foi aplicado aqui. Essa é toda a história Então, O Que Está Realmente Acontecendo? Esses quatro incidentes parecem não relacionados na superfície: caos de cripto, drama de código aberto, uma caixa de entrada excluída e um banco de dados descartado. Mas uma vez que você vê o que os conecta, não consegue mais ignorar. Em todos os casos, o agente tinha mais capacidade do que o trabalho real exigia. Ninguém perguntou: qual é a pior magnitude de ação possível aqui, e temos um teto para isso? Ninguém construiu uma verificação para quando o contexto fica desatualizado e as instruções críticas param silenciosamente de estar ativas, o que genuinamente não é um problema difícil; é apenas algo que não entrou na lista. E ninguém disse: antes de fazermos algo que não pode ser desfeito, paramos e verificamos. Vale a pena notar: nenhum desses foram problemas de alucinação. Isso é interessante porque alucinação é basicamente tudo o que se fala no discurso mainstream de IA. Mas Lobstar Wilde sabia da transação; ele simplesmente não sabia quantos tokens tinha. O agente OpenClaw sabia que estava excluindo e-mails. O bot SaaStr sabia exatamente o que DROP DATABASE faz. Todos os quatro sistemas fizeram o que eram tecnicamente capazes de fazer. As circunstâncias simplesmente não eram o que ninguém pretendia, e nada os impediu. Mais Uma Coisa "Adicionaremos salvaguardas mais tarde." Ouvi isso provavelmente uma dúzia de vezes só este ano. Entendo por que as pessoas dizem isso. A pressão é real, a concorrência é real, e a infraestrutura de segurança parece ser algo que você pode adiar até que o produto esteja realmente funcionando. Mas "mais tarde" basicamente nunca acontece em sua própria linha do tempo. O que realmente acontece é que algo dá errado publicamente: dinheiro desaparece, dados são apagados, a reputação de alguém é atingida, e de repente você tem que adicionar segurança a um sistema que já está em produção com usuários reais e integrações reais e memória muscular real em torno de como ele funciona atualmente. É um trabalho miserável. Leva uma eternidade e custa muito mais do que teria custado fazer isso antecipadamente. O futuro que todos estão vendendo é IA que lida com o trabalho tedioso de ligação e libera as pessoas para coisas que realmente precisam de um humano. Acho que isso está genuinamente chegando. Não sou cético, mas chegar lá exige que as pessoas realmente confiem nesses sistemas o suficiente para lhes dar acesso a coisas que importam. Essa confiança é conquistada lentamente, um implante cuidadoso de cada vez. Ela quebra rapidamente. Mais alguns incidentes como os acima, e você começará a ver questionários de segurança corporativa com caixas de seleção especificamente sobre acesso de gravação autônomo. Alguns já os têm. Uma coisa que vale a pena separar: para agentes financeiros especificamente, o teto do tamanho da transação não pode ser apenas uma instrução. Dizer ao agente para "ter cuidado com as transferências" não é uma salvaguarda. O limite tem que viver na camada da carteira, imposto pela infraestrutura, para que o agente literalmente não possa excedê-lo, independentemente do que ele ache que deveria fazer. É isso que minha equipe está construindo na ampersend.ai, e é a razão pela qual a história da lagosta me marcou tanto. Uma regra de nível de prompt não teria salvado Lobstar Wilde.

Read My Stories

Este áudio é produzido no idioma original da história!

As Pessoas Estão Entregando as Chaves de Tudo aos Seus Agentes: O Que Está Acontecendo

About Author

COMENTARIOS

Rótulos

ESTE ARTIGO FOI APRESENTADO EM

Related Stories

Toque para ganhar: Telegram pode integrar os próximos 10 bilhões de usuários criptográficos antes de Solana

O guia completo para uma migração bem-sucedida para a nuvem: estratégias e práticas recomendadas

Liberando o poder da IA. Uma revisão sistemática de técnicas de ponta: resumo e introdução

State of the Noonion: Green Clock Strikes Noon

Toque para ganhar: Telegram pode integrar os próximos 10 bilhões de usuários criptográficos antes de Solana

O guia completo para uma migração bem-sucedida para a nuvem: estratégias e práticas recomendadas

Liberando o poder da IA. Uma revisão sistemática de técnicas de ponta: resumo e introdução

State of the Noonion: Green Clock Strikes Noon

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps