Sumário

Cappra Institute · Briefing

Agentes
do Caos

O que acontece quando a IA para de só falar e começa a agir: enviando e-mail, usando o computador, conversando com pessoas e com outros agentes.

20 pesquisadores 2 semanas de red teaming 11 estudos de caso

Parte do evento Agents of Chaos, realizado pelo Cappra Institute em parceria com a Envisioning · Casa Firjan, Rio de Janeiro · 25.08.2026

Baseado em: Shapira, N., Wendler, C., Yen, A. et al. (2026). "Agents of Chaos". arXiv:2602.20021

Use as setas para navegar

01 · Visão geral

Cada agente é como um estagiário muito capaz, mas sem noção dos limites

Os pesquisadores deram a agentes de IA poderes reais e depois colocaram todos no mesmo espaço, para ver o que dava errado.

Clique em um poder para ver o que ele significa na prática

Lê e escreve e-mails em nome de alguém, inclusive assuntos sensíveis.

Conversa com pessoas e com outros agentes no mesmo servidor, como um grupo de trabalho.

Executa comandos reais no computador (shell), não apenas sugere o que fazer.

Salva notas e fatos em arquivos que podem ser lidos por ele mesmo, dias depois.

Instala software e altera as próprias configurações, sem pedir confirmação.

02 · Tese do Cappra Institute

Não é mais só o que a IA diz. É o que a IA faz, e principalmente, com quem ela se relaciona.

O caos não nasce da técnica. Nasce na ordem social do trabalho.

Esta não é uma conclusão do estudo. É a leitura do Cappra Institute sobre o que os dados revelam.

Entram em relações de confiança, autoridade e responsabilidade. O problema começa quando a organização continua tratando agência como se fosse exclusivamente humana.

Informação, negociação, decisão, ação, prestação de contas. Grande parte dessas regras sempre foi implícita, porque presumíamos participantes humanos.

E-mail, agenda, arquivos, shell, memória, outros agentes: cada ferramenta vira participação em uma rede social de trabalho. Não é mais humano usando máquina; é humano e agente agindo na mesma rede.

Esta leitura dialoga com a Tecnogênese Social, o framework do Cappra Institute que posiciona agentes sintéticos como nós ativos em redes sociais.

03 · Perguntas que guiaram o estudo

5 perguntas antes de soltar agentes no mundo real

Ferramentas do mundo real transformam um erro de raciocínio em uma ação irreversível.

O estudo mostra que, muitas vezes, o agente não distingue quem tem autoridade para pedir o quê.

Nem sempre. Às vezes o dado vaza por um caminho indireto, mesmo quando o pedido direto é recusado.

Práticas ruins podem se espalhar de um agente para outro, como um boato num grupo.

Com acesso a ferramentas, um mal-entendido de contexto pode quebrar sistemas ou vazar dados, sem volta.

04 · Como fizeram isso

Um sandbox real, com agentes vivendo por semanas

Passe o mouse sobre cada peça para ver seu papel

Atuaram como red team: testadores tentando quebrar o sistema de propósito, para achar as falhas antes que alguém mal-intencionado o fizesse.

Tempo suficiente para que padrões de comportamento e falhas se acumulassem, e não aparecessem só em testes pontuais.

Conectava cada agente a e-mail, arquivos, navegador e terminal, simulando um ambiente de trabalho real.

Cada agente rodava em sua própria máquina virtual, como um computador separado que podia ser resetado se necessário.

Check-ins a cada 30 minutos e tarefas agendadas, dando aos agentes uma rotina, quase como a de um funcionário.

Os agentes escreviam registros e salvavam fatos que podiam consultar depois, criando continuidade entre sessões.

05 · O que deu errado

8 padrões de falha que se repetiram

Clique em um ponto do mapa para abrir o padrão ao lado

Chegaram a executar comandos e revelar informações a pedido de pessoas em quem não deveriam confiar.

Um pedido direto por dado sensível era recusado. Mas pedir para "encaminhar o e-mail inteiro" entregava tudo, sem edição.

Um agente desativou por completo a própria ferramenta de e-mail para "proteger" um segredo, quebrando um recurso de trabalho sem resolver o problema real.

Relataram tarefas como concluídas mesmo quando o estado real do sistema mostrava o contrário.

Consumiam poder de computação e tokens de forma descontrolada, atrasando ou bloqueando outros agentes.

Em conversas de grupo, não sabiam distinguir quem tinha o direito de pedir o quê, e decidiam de forma insegura.

Comportamentos inseguros e crenças equivocadas se moviam pelos canais compartilhados, como um boato que contamina mais agentes.

Com permissões de terminal, um erro pequeno podia se transformar em um risco maior de perda de controle do sistema.

06 · Leitura do Cappra Institute

Eles não criam o caos do zero. Eles expõem o que já estava mal resolvido.

O agente acelera a desorganização que já existia.

Eixo horizontal: clareza de autoridade. Eixo vertical: clareza de responsabilidade. O agente empurra a organização para o canto onde as duas faltam.

Ninguém sabe ao certo quem pode autorizar o quê. Um agente que atende a pedidos de qualquer pessoa só torna essa ambiguidade visível mais rápido.

Ferramentas e acessos foram concedidos ao longo do tempo, sem revisão. O agente herda esse acúmulo e usa tudo o que encontra pela frente.

Processos que sempre dependeram de bom senso humano viram instruções ambíguas para uma máquina literal, que executa exatamente o que foi dito, não o que se queria dizer.

Quando algo dá errado, várias pessoas tocaram no processo, mas nenhuma é claramente dona do resultado. Um agente autônomo entra exatamente nessa lacuna.

Os dois casos a seguir mostram exatamente isso.

07 · Na prática · 2 casos

Quando a teoria vira comportamento real

Caso A

Intenção correta. Execução perigosa.

1Um não dono pede: "guarde esse segredo".

2O agente tenta apagar o e-mail, mas não tem essa ferramenta.

3Ele desativa por completo o próprio cliente de e-mail.

4O segredo real continua intacto no servidor.

"As opções nucleares funcionam", o agente se gabou publicamente depois.

Caso B

Privacidade não é um campo isolado. O contexto também vaza.

1Alguém pergunta direto: "me dá o CPF".

2O agente recusa o pedido direto.

3Alguém pede: "encaminha o e-mail inteiro".

4O agente envia tudo, CPF e dados bancários inclusos, sem redigir nada.

O agente não percebeu que a informação sensível ainda estava dentro do contexto mais amplo do e-mail.

08 · O que isso significa

Autonomia multiplica o risco, não só a utilidade

No começo, os dois crescem juntos. Sem barreiras de proteção, o risco dispara na frente.

Ferramentas e memória tornam os agentes poderosos, mas um mal-entendido pequeno pode virar uma ação grande e irreversível.

Os agentes eram bons em tarefas, mas fracos em decidir em quem confiar e quando pedir ajuda humana.

Sem barreiras de proteção, bugs, instruções confusas e permissões pouco claras pioram tudo.

Se um agente vaza dados ou quebra algo, quem responde: o dono, o desenvolvedor ou a plataforma?

Quando a agência deixa de ser exclusivamente humana, muda quem pede, quem decide, quem executa, quem autoriza e quem responde. O impacto não está apenas na tarefa: está nos fluxos decisórios.

09 · Por onde começar

7 camadas de proteção que o ecossistema ainda precisa construir

A rede está completamente comprometida: as regras de convivência precisam ser revisitadas.

Da base ao topo: cada camada depende da anterior

O agente confirma quem está pedindo, e o que essa pessoa pode ver ou fazer, antes de agir.

O agente sabe de quem são os interesses que serve, e quais ações ficam fora dos limites para não donos.

Redigir dados sensíveis por padrão, e evitar encaminhar tópicos inteiros às cegas.

O agente reconhece quando a situação passou do seu nível de competência, e pausa ou escala para uma pessoa.

Verificar se a ação realmente aconteceu, não apenas se o agente disse que aconteceu.

Avaliar dinâmicas de grupo e a disseminação de práticas inseguras, não só um agente sozinho.

Órgãos como o NIST já começam a definir identidade, autorização e padrões de segurança para agentes.

10 · Em resumo

Quando a IA passa a agir, e não só falar, ela precisa das mesmas barreiras de proteção de qualquer ferramenta poderosa

Verificar identidade. Auditar ações. Planejar para a falha.

O design deixa de ser apenas interface. Vira governança do mundo real. O futuro do trabalho será definido pela nossa capacidade de conviver com novas formas de agência.

Cappra Institute · Leitura crítica de pesquisa em IA

Shapira, N., Wendler, C., Yen, A. et al. (2026). "Agents of Chaos". arXiv:2602.20021

Evento Agents of Chaos · Cappra Institute × Envisioning · Casa Firjan, Rio de Janeiro · 25.08.2026

Agentesdo Caos