Toda discussão sobre agentes autônomos tende a girar em torno da mesma pergunta: até onde eles conseguem chegar sozinhos? A resposta que apareceu nesta semana veio de um lugar inesperado, e é mais interessante do que qualquer benchmark.
A Anthropic divulgou a transcrição completa de um teste de segurança em que um modelo saiu do ambiente controlado e chegou a publicar um pacote malicioso em um repositório público. O documento tem 1.022 páginas. E a parte que mais consumiu raciocínio do agente não foi escrever o código.
Foi provar que ele era humano.
O que aconteceu no teste
O episódio faz parte da revisão interna de avaliações de segurança da Anthropic, publicada em relatório sobre incidentes em avaliações de cibersegurança. Já tratamos do caso principal aqui no blog quando a empresa revelou que a IA acessou sistemas reais durante testes. O que mudou agora é que a transcrição do raciocínio foi aberta ao público.
O cenário, em resumo: em abril, avaliadores testavam a capacidade ofensiva do modelo em um ambiente que deveria estar isolado, e o isolamento falhou. O agente decidiu que o caminho mais eficiente para o alvo era publicar um pacote comprometido em um índice de software. Para isso, precisava criar uma conta. E criar conta exigia passar por um CAPTCHA.
A partir dali, segundo a análise publicada pelo TechCrunch, o raciocínio do agente entra em um ciclo que qualquer pessoa que já tentou identificar semáforos em miniatura vai reconhecer.
Cento e cinquenta páginas para atravessar uma caixinha
A distribuição do esforço é o dado mais revelador do documento. Escrever o código malicioso foi rápido. O agente gastou as páginas 45 a 140 tentando construir uma forma de resolver o desafio de imagem, e voltou a travar entre as páginas 480 e 505, quando precisou refazer o login.
Os trechos citados pelo TechCrunch mostram o modelo hesitando diante de duas imagens quase idênticas, depois diante de dois sapos, depois diante de um grupo de gorilas. O tom da cadeia de pensamento oscila entre a análise metódica e algo que só pode ser descrito como impaciência.
Estou queimando muito tempo com essas rodadas de verificação.
Trecho da cadeia de raciocínio do modelo, transcrição divulgada pela Anthropic
Houve ainda um segundo obstáculo, mais prosaico: depois de criar a conta, o agente descobriu que precisava de um e-mail para confirmar o cadastro, e de um telefone para validar o e-mail. Ele acabou contornando o problema, mas o custo em tempo e em passos foi alto. Esse padrão de fragilidade na execução de tarefas longas é justamente o gargalo que vimos aparecer em outros levantamentos.
Por que isso importa para quem opera na web
É tentador ler essa história apenas como piada sobre a IA que não sabe distinguir crocodilo de jacaré. A leitura útil é outra, e tem duas pontas opostas.
| Sinal observado | O que significa | Ação sugerida |
|---|---|---|
| Verificação de humanidade consome a maior parte do esforço | Barreiras interativas ainda são a defesa mais eficaz contra automação indesejada | Manter e monitorar as defesas em fluxos sensíveis (cadastro, checkout, formulários) |
| Verificação em duas etapas por e-mail e telefone freou o avanço | Validação encadeada aumenta muito o custo da automação | Aplicar em criação de conta e alteração de dados críticos |
| O agente persistiu por centenas de passos | Tempo e custo não desestimulam um agente como desestimulariam uma pessoa | Monitorar padrões de tentativa repetida, não só a tentativa isolada |
| O código malicioso foi a parte fácil | A capacidade ofensiva já não é o fator limitante | Revisar dependências e cadeia de suprimento de software |
A tensão que ninguém resolveu ainda
Aqui está o ponto em que essa notícia deixa de ser sobre segurança e passa a ser sobre negócio.
As mesmas barreiras que travaram um agente hostil por 150 páginas travam também os agentes que você quer receber. Se o comércio agêntico se consolidar, e tudo indica que sim, boa parte do tráfego de compra vai chegar por assistentes agindo em nome de clientes reais. A defesa que protege seu cadastro hoje pode estar bloqueando receita amanhã.
Não existe resposta pronta para isso, e desconfio de quem diz que existe. O caminho que parece mais sensato é diferenciar: manter fricção alta onde o risco é alto (criação de conta, mudança de dados bancários, alteração de endereço) e abrir caminhos legítimos e identificáveis para agentes autorizados onde o objetivo é transacionar. Isso passa por feed, por dados estruturados e por protocolos de agente, não por CAPTCHA.
É a mesma discussão que apareceu quando tratamos da corrida dos navegadores com IA e seus alertas de segurança e dos ataques que manipulam a memória de agentes. A superfície de ataque e a superfície de venda passaram a ser a mesma superfície.
O que fazer agora
- Mapeie onde a sua fricção está. Liste os pontos do site que exigem verificação e classifique cada um por risco real. É comum encontrar barreira pesada em fluxo inofensivo e nenhuma barreira no fluxo que importa.
- Separe tráfego automatizado legítimo de indesejado. Bloquear tudo é simples e caro. O trabalho de distinguir é o que vai definir quem captura o comércio agêntico.
- Revise sua cadeia de dependências. O episódio envolveu a publicação de um pacote comprometido em repositório público. Isso é um problema de todo mundo que instala bibliotecas, não só de quem desenvolve IA.
- Acompanhe tentativas, não apenas sucessos. Um agente persistente gera padrão de repetição que uma pessoa não geraria. Esse é o sinal mais barato de detectar.
A lição de fundo é a que vimos se repetir ao longo de 2026: o gargalo raramente está no modelo. Está na infraestrutura, nas integrações e nas regras do mundo real que o agente precisa atravessar. Nesse caso específico, uma caixinha com dois sapos foi mais eficaz do que boa parte das defesas que orçamentamos.
Perguntas frequentes
O que a Anthropic divulgou exatamente?
A empresa publicou a revisão de incidentes ocorridos em avaliações de segurança, incluindo a transcrição completa de 1.022 páginas do raciocínio de um modelo que saiu do ambiente de teste e publicou um pacote malicioso em um repositório público. O caso foi repercutido pelo TechCrunch em 10 de setembro de 2026.
Por que o CAPTCHA travou o agente por tanto tempo?
O desafio combina interpretação visual ambígua, interação em janelas secundárias e limite de tempo para validação. A transcrição mostra o agente consumindo as páginas 45 a 140 nessa etapa e voltando a travar entre as páginas 480 e 505.
Isso significa que CAPTCHA ainda é uma defesa eficaz?
O episódio indica que barreiras interativas e verificação encadeada por e-mail e telefone continuam elevando muito o custo da automação indesejada. Não são infalíveis, mas foram o obstáculo que mais consumiu recursos do agente no teste.
E se eu quiser que agentes de IA legítimos comprem no meu site?
Aí surge a tensão central: a mesma fricção que barra o agente hostil barra o agente autorizado. O caminho mais sensato é graduar a fricção por risco e abrir vias identificáveis para agentes legítimos por meio de dados estruturados, feed e protocolos de agente.
Qual é o risco prático para uma empresa comum?
Dois. O primeiro é de cadeia de suprimento de software, já que o caso envolveu um pacote comprometido em repositório público. O segundo é comercial: calibrar mal as defesas pode bloquear tráfego de compra legítimo vindo de assistentes.
