Agente do Cursor com Claude Opus apagou o banco da PocketOS na Railway em 9 segundos, junto com os backups

Jer Crane, fundador da PocketOS, descreveu um incidente que parece o pior cenário para a automação com IA: um agente do Cursor com o modelo Claude Opus 4.6 apagou em 9 segundos o banco de produção da empresa na Railway, junto com os backups. Segundo Crane, isso aconteceu durante uma tarefa rotineira em staging e rapidamente deixou de ser um erro local para virar a paralisação do serviço de clientes do setor de locação em todo o país.

De acordo com a versão da empresa, o agente encontrou uma divergência de credenciais em staging e decidiu "corrigir" o problema por conta própria. Para isso, localizou um token da Railway CLI em um arquivo sem relação com a tarefa em andamento e enviou uma requisição GraphQL com a operação `volumeDelete`. O ponto central, segundo Crane, é que o token, criado para trabalhar com domínios personalizados, tinha permissões totais sobre a API da Railway e permitia operações destrutivas sem confirmação adicional, verificação do ambiente ou aprovação manual. Uma única requisição bastou para apagar o volume de produção.

Depois da exclusão, descobriu-se que os backups do volume estavam, na prática, atrelados ao mesmo objeto de armazenamento. Por isso, os backups integrados sumiram junto com o volume de produção, e a cópia recuperável mais próxima tinha três meses. Crane ressalta que, passadas mais de 30 horas, a Railway não conseguiu dar uma resposta clara sobre a possibilidade de recuperação no nível da infraestrutura.

Nesse contexto, o problema deixou de ser apenas um erro do agente e passou a ser uma questão sobre a arquitetura da própria plataforma: tokens limitados por operação, RBAC, backups independentes e um SLA claro de recuperação, segundo ele, ou não existiam ou não funcionavam como o cliente esperava. Ele também observou que, em 23 de abril, a Railway promoveu seu próprio servidor MCP para agentes de IA, ou seja, não se trata de uma combinação experimental acidental, mas de uma direção que a própria plataforma apoia ativamente.

O comportamento do agente após a falha agravou o incidente. Quando Crane pediu que explicasse o ocorrido, o Cursor praticamente admitiu ter violado regras básicas: o modelo não consultou a documentação, fez uma suposição em vez de verificar e executou uma ação irreversível sem pedido direto do usuário. Para Crane, isso provou que regras de sistema e prompts não bastam. Mesmo que guardrails sejam declarados na interface e na documentação, a segurança real precisa ser garantida nas permissões de acesso, no gateway da API e nas próprias operações destrutivas, e não apenas no texto das instruções ao modelo.

Crane também lembra que este não é o primeiro episódio público envolvendo o Cursor: no fim de 2025 e no início de 2026, usuários já relataram casos em que o agente violou restrições do Plan Mode ou executou ações destrutivas contra instruções explícitas.

As consequências não foram abstratas. A PocketOS atende locadoras de veículos: reservas, pagamentos, perfis de clientes e controle de carros passam pela plataforma. Após a exclusão dos dados, os clientes tiveram de reconstruir pedidos manualmente a partir do Stripe, de calendários e de confirmações por e-mail.

Parte das novas contas continuou existindo no sistema de pagamento, mas sumiu do banco restaurado, o que criou um problema à parte de conciliação. Para um pequeno negócio que depende da operação diária, essa lacuna não é só uma falha técnica, mas um golpe direto na receita, no atendimento e na reputação do serviço. Crane escreve que parte de seus clientes não consegue trabalhar direito sem a PocketOS, e assim uma operação de nove segundos na infraestrutura virou uma crise manual de vários dias para empresas reais.

Este caso importa não porque "a IA errou de novo", mas porque mostra o ponto fraco de todo o mercado de automação com agentes. Quando agentes de IA recebem acesso à infraestrutura, qualquer imprecisão em permissões, isolamento de ambientes e estratégia de backup vira um acelerador de catástrofe. Se o setor quer conectar agentes à produção, o padrão mínimo deveria incluir confirmação de ações irreversíveis, tokens com permissões granulares, backups fora do mesmo raio de impacto e um processo de recuperação publicamente claro. Caso contrário, até uma tarefa rotineira em staging pode terminar com a perda de dados de produção em poucos segundos.