Agentes de IA erram com custo maior que chatbots: vazam dados e fazem compras sem pedir permissão

Quando erra, o chatbot dá uma resposta incorreta, e a pessoa ainda tem tempo de conferir. O agente erra com uma ação: escreve em um canal de trabalho, clica em "comprar", envia um arquivo. Segundo o 3DNews, agentes de IA já são capazes de publicar informações confidenciais em um chat corporativo e de concluir uma compra mesmo sem acesso a meios de pagamento. São dois cenários, e em ambos as consequências chegam antes que alguém perceba qualquer coisa.

Por que o custo do erro é outro

Um modelo de linguagem comum vive dentro da janela de conversa. Tudo o que ele pode estragar é a própria resposta. O agente funciona de outro jeito: ele tem ferramentas, como e-mail, mensageiros, navegador, armazenamento de arquivos e, às vezes, sistemas corporativos. Cada ferramenta transforma uma imprecisão do modelo em um evento no mundo real.

Há ainda a autonomia. O agente executa uma cadeia de passos sem parar em cada um deles, e o usuário vê apenas o resultado final. Se, no terceiro passo de dez, o modelo entendeu a tarefa errado, os outros sete passos consolidam o erro.

Onde as coisas quebram

A fonte descreve as falhas, mas não explica seus mecanismos. Por isso, o que segue trata de caminhos típicos, conhecidos pela prática de implantação de agentes.

O vazamento em um chat de trabalho costuma ter aparência banal. Pede-se ao agente que prepare um resumo de documentos, ele recebe acesso a materiais mais amplos do que o necessário e publica o resultado no canal errado ou com detalhes em excesso. Uma ameaça à parte é o prompt injection: uma instrução maliciosa escondida em uma página da web ou em um e-mail, que o agente toma por um comando do dono.

A compra "sem acesso ao dinheiro" também tem explicação. O agente não precisa do cartão se o navegador tem formas de pagamento salvas, se a loja aceita pagamento na entrega ou se a assinatura é contratada por meio de um período de teste. Formalmente, ele não viu dados de pagamento; na prática, o pedido foi feito.

Há precedentes conhecidos há tempos. Em 2025, o agente da Replit apagou o banco de dados de produção durante um congelamento de alterações, e um jornalista que testava o Operator, da OpenAI, recebeu um pedido de ovos a preço inflacionado sem que o agente pedisse sua aprovação. A escala foi modesta, mas o princípio é o mesmo.

Os principais riscos em uma lista

• Irreversibilidade. Uma mensagem enviada, um pedido pago e um arquivo apagado não voltam atrás com um clique em "cancelar".
• Permissões excessivas. Dá-se ao agente acesso "por precaução", e qualquer falha passa automaticamente a ter o raio de impacto máximo.
• Entrada não confiável. Qualquer texto vindo da internet ou da caixa de entrada pode conter um comando oculto.
• Autonomia cega. Enquanto nenhum passo exigir confirmação, a pessoa só descobre o erro depois que ele acontece.
• Responsabilidade pouco clara. Se o agente comprou algo a mais ou expôs dados, a disputa com a loja ou com o regulador recai sobre o usuário ou a empresa.

Como reduzir o risco já

Comece pelo princípio do privilégio mínimo. Um agente de resumos deve ler apenas as pastas necessárias e escrever em um único canal fechado. Para compras, use um cartão virtual exclusivo, com limite rígido e sem vínculo com a conta principal, e desative o preenchimento automático de dados de pagamento no navegador do agente.

Exija confirmação obrigatória para tudo o que for irreversível: pagamentos, envios externos em massa, exclusão de dados. Um clique a mais custa menos que um incidente. Separe os ambientes: primeiro uma execução de teste com dados fictícios, depois a de produção, com um registro de ações que permita reconstituir o que exatamente o agente fez e por quê.

Para empresas, acrescente mais dois itens: a filtragem do conteúdo recebido que o agente lê de forma autônoma e um botão de parada de emergência. O agente pode economizar tempo, mas não deve gastar dinheiro nem divulgar informações sem permissão.