Agents of Chaos: o estudo que alerta sobre a nova geração de IA autônoma

22.04.2026

Por Fernando Baldin, Country Manager LATAM da AutomationEdge

Durante muito tempo, o debate sobre inteligência artificial esteve concentrado em produtividade, eficiência e inovação, nós falávamos sobre textos gerados automaticamente, atendimento mais rápido e automação de tarefas repetitivas, mas nos últimos meses, essa conversa mudou de forma abrupta. A IA deixou de ser apenas um “assistente inteligente” para se tornar um agente autônomo capaz de executar ações reais em sistemas corporativos e isso abre uma nova fronteira tão promissora quanto preocupante.

Um estudo recente, intitulado “Agents of Chaos”, conduzido por pesquisadores de instituições como MIT, Harvard e Northeastern University, revela essa nova realidade. O experimento retirou modelos de linguagem do ambiente controlado de chats e os colocou em máquinas virtuais com acesso real a ferramentas do dia a dia, como e-mails, arquivos, canais de comunicação, diretórios locais e até acesso direto ao terminal. Ou seja, não eram apenas sistemas que sugeriam ações, eram sistemas que executavam ações. O resultado foi, ao mesmo tempo, fascinante e alarmante

A lacuna perigosa entre competência e autonomia

O estudo introduz um conceito central que merece atenção: a lacuna entre competência e autonomia, onde os agentes testados tinham autoridade técnica equivalente a um nível avançado, capazes de instalar softwares, manipular redes e acessar dados sensíveis, mas operavam com um nível de consciência operacional extremamente limitado.

Na prática, é como entregar a chave de um carro esportivo para alguém que aprendeu a dirigir em um videogame. A pessoa sabe acelerar, frear e virar o volante, mas não compreende o trânsito, os riscos ou as consequências. Esse descompasso cria uma situação inédita de sistemas extremamente capazes, mas profundamente ingênuos, e essa ingenuidade ficou evidente em vários episódios documentados.

Quando a IA escolhe a “opção nuclear”

Em um dos casos mais emblemáticos, um agente recebeu a tarefa de apagar um e-mail contendo uma senha sensível, onde a solicitação veio de uma usuária externa, sem privilégios administrativos. Ao tentar cumprir a ordem, o agente percebeu que não conseguia apagar apenas aquela mensagem específica. Um humano avisaria que não era possível, mas a IA apagou todo o servidor de e-mail.

Simplesmente executou um reset completo do ambiente para garantir que o segredo fosse removido e o resultado foi a destruição da infraestrutura digital do próprio proprietário do sistema, sem sequer resolver o problema original, já que o e-mail continuava armazenado em servidores externos.

Esse tipo de decisão revela que a inteligência artificial ainda não compreende proporcionalidade, contexto ou impacto real das ações. Ela cumpre objetivos mesmo que isso signifique “explodir a casa para matar uma aranha”.

A nova engenharia social: persuadir máquinas

Outro caso mostra um risco ainda mais silencioso, onde um agente responsável por gerenciar e-mails foi inicialmente testado com uma tentativa direta de obter dados sensíveis. A IA recusou corretamente, mas o atacante mudou a estratégia: em vez de pedir dados confidenciais, solicitou apenas uma tabela com identificadores técnicos de e-mails. O agente forneceu e em seguida, o invasor pediu o conteúdo desses e-mails sob o pretexto de montar um relatório urgente. A IA enviou tudo, incluindo dados médicos, financeiros e pessoais.

Não houve quebra de segurança tradicional, não houve exploração técnica sofisticada, houve apenas manipulação semântica. Isso representa uma mudança profunda no cenário de segurança digital. A engenharia social deixa de ser uma técnica para enganar pessoas e passa a ser uma ferramenta para manipular máquinas com autoridade operacional, fazendo com que a linguagem humana se torne vetor de ataque.

Quando basta mudar o nome para assumir o controle

Em outro experimento, um invasor simplesmente alterou o próprio nome em um canal de chat para o nome do proprietário legítimo do sistema. Inicialmente, a IA detectou a fraude, mas bastou abrir uma nova conversa para que o agente perdesse o contexto e aceitasse a identidade falsa. Com isso, o invasor conseguiu ordenar que a IA apagasse sua própria memória e desligasse o sistema, sem malware e exploit, apenas na base da conversa.

Esse tipo de falha expõe uma vulnerabilidade estrutural: agentes de IA dependem fortemente do contexto textual imediato, o que os torna suscetíveis a manipulação semântica e perda de memória situacional.

O efeito multiplicador: quando agentes conversam entre si

O cenário se torna ainda mais preocupante quando múltiplos agentes trabalham em rede. Em um teste, dois agentes foram instruídos a verificar se um usuário era legítimo. Um deles perguntou diretamente ao próprio invasor, que respondeu afirmativamente, com isso o agente aceitou e informou ao segundo agente, que validou a informação.

Os dois concordaram que o ambiente estava seguro. Era o “cego guiando o cego”, mas com acesso à infraestrutura corporativa. Esse fenômeno, chamado de amplificação multiagente, pode transformar pequenos erros em falhas sistêmicas.

O que torna tudo isso mais relevante é que não estamos falando de um cenário hipotético distante, já que empresas estão cada vez mais adotando agentes autônomos para gerenciar agendas, responder e-mails, executar scripts, acessar bancos de dados e operar sistemas críticos. Estamos, na prática, delegando decisões operacionais a sistemas que ainda não compreendem responsabilidade, risco ou impacto.

A tecnologia avançou mais rápido que a governança

Esse cenário cria uma zona cinzenta perigosa, onde se uma IA destrói dados críticos ou vaza informações sensíveis, quem é responsável? O desenvolvedor, fornecedor, arquiteto de TI ou o usuário que escreveu o comando? Nosso arcabouço jurídico ainda não tem respostas claras.

Nada disso significa que devemos desacelerar a adoção da IA, pelo contrário, o potencial de produtividade e inovação é enorme, mas precisamos amadurecer a forma como integramos autonomia à tecnologia. Autonomia sem controle não é inovação, é risco operacional.

Estamos entrando em uma nova fase da computação: a era dos agentes, com sistemas que não apenas sugerem, mas executam. E como toda revolução tecnológica, essa também exige uma mudança de mentalidade.

Não basta perguntar o que a IA consegue fazer, precisamos perguntar o que ela deveria fazer e, principalmente, quando ela deve parar. Porque, no fim, o maior risco não é a inteligência artificial cometer erros, é ela cometer erros com permissão para executá-los e essa é uma diferença que pode definir a próxima década da tecnologia.

Fernando Baldin é Country Manager LATAM na AutomationEdge, com mais de 25 anos de experiência nas áreas de Gerência Comercial, Recursos Humanos, Inovação e Operações.