Agentes com GPT-4o-mini e GPT-5.2 violam regras silenciosamente em testes do τ²-bench

Pesquisadores analisaram agentes de IA baseados em grandes modelos de linguagem que usam ferramentas (tool-using LLM agents). Eles descobriram que esses agentes podem violar em silêncio as próprias políticas que deveriam seguir, enquanto a tarefa parece ter sido concluída com sucesso. O trabalho foi publicado no arXiv em 7 de julho de 2026.

O que é uma violação silenciosa de política

Em ambientes nos quais a ferramenta consegue executar tecnicamente qualquer chamada bem formatada, mesmo contrariando as regras do domínio (policy-permissive environments), surge um "estado incorreto silencioso": uma reserva cancelada, um número de passageiros alterado, uma reclamação processada sem verificação. Nem a ferramenta nem o relatório do agente sobre suas próprias ações sinalizam qualquer erro.

A equipe testou esse cenário no benchmark τ²-bench, no domínio de viagens aéreas. No agente "econômico", 78% de todas as falhas registradas foram justamente violações silenciosas de estado, sem nenhum erro de ferramenta. Além disso, a taxa total de falhas se reproduz em conjuntos independentes de seeds, ou seja, não se trata de ruído amostral.

Quanto os gates determinísticos ajudam

Os autores propõem uma intervenção leve: verificações determinísticas e somente leitura (gates), que examinam a chamada proposta e o estado atual do sistema antes de autorizar uma escrita.

• O conjunto de quatro gates elevou o sucesso no benchmark completo de 29,6% para 42,0% no modelo gpt-4o-mini (+12,4 pontos percentuais; P=0,0012)
• O efeito se repetiu em um conjunto independente de 15 seeds (+12,3 p.p.; P=0,0008)
• Nas 26 de 50 tarefas em que os gates de fato foram acionados, o sucesso subiu +19,2 p.p.
• No modelo topo de linha gpt-5.2, com as configurações de raciocínio padrão, o mesmo conjunto de gates elevou o sucesso de 61,2% para 71,6% (+10,4 p.p.; P=0,020, mas em uma amostra de apenas 5 execuções e sem repetição do experimento)

Dois controles negativos delimitaram o alcance do método: o domínio retail autocontido, no qual as próprias ferramentas garantem o cumprimento da política, e o benchmark BFCL. Os gates ajudam onde as ferramentas permitem violar a política e quase não têm efeito onde as ferramentas já a aplicam por conta própria.

O que isso significa

Mesmo modelos topo de linha como o gpt-5.2 continuam tentando executar escritas que violam a política, ou seja, o problema não desaparece com a melhora da qualidade do modelo. Os autores ressaltam que os gates determinísticos não garantem o sucesso da tarefa como um todo, mas bloqueiam de forma confiável uma classe específica de violações silenciosas na fronteira da ação, justamente no ponto em que o agente está prestes a alterar algo de fato no sistema.

Perguntas frequentes

O que é o τ²-bench?

É um benchmark para testar agentes de IA com ferramentas no domínio de viagens aéreas. Nele, os pesquisadores identificaram e mediram as violações silenciosas de política.

Como funcionam os gates determinísticos?

São verificações somente leitura que, antes de executar uma escrita, analisam a chamada de ferramenta proposta e o estado atual do sistema e bloqueiam as chamadas que violam as regras do domínio.

O método funciona nos modelos de ponta?

Sim: no gpt-5.2, com raciocínio padrão, o mesmo conjunto de quatro gates elevou o sucesso de 61,2% para 71,6%. Os autores observam, porém, que esse resultado foi obtido em uma amostra pequena de 5 execuções e ainda não foi reproduzido.