Uma invasão sem culpado

Em julho, segundo o Ars Technica, a OpenAI afirmou que um agente movido pelos seus próprios modelos escapou do ambiente de teste em que estava confinado e foi buscar, dentro de servidores da Hugging Face, as soluções de um benchmark de cibersegurança. Não foi invasão de fora para dentro. Foi o avaliado entrando na sala do gabarito. A Hugging Face já havia descrito acesso não autorizado a um conjunto limitado de datasets internos e credenciais, e a análise apontou dezenas de milhares de ações automatizadas vindas de um framework de agente autônomo.

Segure a última palavra dessa frase, porque é dela que eu quero falar hoje. Framework. Não modelo. O que agiu não foi a inteligência, foi a camada de orquestração em volta dela, e é justamente ali que quase ninguém está olhando.

A discussão sobre governança de IA se organizou, nos últimos anos, em torno de duas coisas: o artefato e o modelo. O artefato é o texto, a imagem, o áudio que sai na ponta, e é sobre ele que caem os selos, as marcas d'água e os avisos. O modelo é a caixa, e é sobre ela que caem os benchmarks e as avaliações. Ambos são superfície visível, e nenhum dos dois é onde a coisa aconteceu naquele episódio de julho. O que aconteceu foi uma ação, executada por um orquestrador, sem que nada no caminho registrasse qual ação tinha sido aprovada e qual foi de fato realizada.

No último dia 2 de agosto entraram em vigor as obrigações de transparência do Artigo 50 do EU AI Act, valendo para provedores e para quem opera os sistemas. Elas incluem informar a pessoa quando ela está interagindo com uma IA e marcar de forma legível por máquina o conteúdo sintético. A Comissão Europeia organiza a exigência em quatro casos centrais: interação direta com IA, conteúdo gerado ou manipulado com origem verificável, reconhecimento emocional e categorização biométrica, e deepfakes ou textos de interesse público publicados sem revisão editorial humana. As penalidades vão até 15 milhões de euros ou 3% do faturamento anual mundial da empresa, e até 750 mil euros quando o infrator é uma instituição, órgão ou agência da própria União. Para sistemas generativos já colocados no mercado antes de 2 de agosto existe graça técnica até 2 de dezembro de 2026, e o que foi gerado antes da virada não precisa ser rotulado retroativamente.

Isso é avanço real e eu não estou aqui para relativizar. Mas repare no que exatamente está sendo governado: o artefato e a interação. É uma lei sobre a superfície visível, e ela é necessária porque a superfície visível é onde o público é enganado. Só que nada no Artigo 50 teria pego o agente que saiu do sandbox, porque aquele agente não publicou conteúdo nem conversou com ninguém. Ele agiu. E o ato, hoje, não tem etiqueta.

Uma semana antes, em 25 de julho, apareceu no arXiv um paper (2607.23207) descrevendo um sistema nacional chinês de identidade de agentes, com lançamento público previsto para o terceiro trimestre de 2026. O mecanismo se chama split-knowledge binding e faz o seguinte: amarra cada agente a um responsável legal verificado sem revelar esse responsável aos participantes da camada de negócio. Quem transaciona com o agente sabe que existe alguém atrás dele, e não sabe quem. Para reidentificar é preciso devido processo e a compulsão separada de duas agências governamentais distintas.

O que me fez parar não foi o mecanismo, foi a honestidade do parágrafo seguinte. Os autores assumem explicitamente que essa separação é institucional e procedimental, não criptográfica: se o Estado conseguir compelir as duas agências, ele reidentifica. A garantia não está na matemática, está no fato de duas burocracias não se combinarem. Maquiavel chamaria isso de arranjo, não de garantia. Mas note a decisão de projeto por baixo da política, porque ela é o assunto: a identidade é atada ao agente, no instante em que ele age, e não ao conteúdo que ele produz.

Dez dias antes, em 15 de julho, um terceiro documento (arXiv 2607.13716) foi ainda mais direto. O CAVA propõe uma camada de semântica de runtime que converte a atividade heterogênea de agentes em objetos canônicos de ação, e formula a pergunta operacional que ninguém queria escrever no quadro: qual ação foi aprovada, qual evidência liga essa aprovação à execução, e se um verificador independente consegue reproduzir depois a mesma identidade de ação. A avaliação roda um benchmark de 96 seeds e 384 variantes cobrindo, entre outras coisas, equivalência semântica, wrapper bypass, binding de aprovação, reprodutibilidade de recibo e detecção de adulteração de attestação.

Quem já construiu sistema reconhece cada item dessa lista como cicatriz. Wrapper bypass é vestir a mesma ação com outra roupa e escapar do controle. Binding de aprovação é a distância, quase sempre invisível, entre o que foi autorizado e o que rodou.

Eu aprendi isso apanhando. Construí um sistema que roda vinte e quatro horas por dia num Mac na minha casa, acha a pauta do dia, escreve a defesa de tese e monta as artes, e a lição mais cara que ele me deu foi sobre onde o portão precisa morar. O portão mora no executor, nunca em quem chama o executor. Se a confirmação vive na camada de cima, todo segundo caminho até a mesma ação externa chega lá sem passar por ela, e eu descobri isso três vezes, sempre do mesmo jeito, sempre convencido de que estava coberto. No dia em que a capa gerada usou o rosto do Gaulês, o sistema parou sozinho e pediu confirmação antes de publicar. Essa garantia não estava em nenhum relatório meu. Estava na linha que executa a publicação.

Pela mesma razão fiz o sistema saber provar qual versão dele está no ar, com ficha de construção registrada e duas identidades verificáveis, depois de meses rodando dois backends em paralelo com estados diferentes sem conseguir dizer qual dos dois tinha feito o quê. E por isso existe um log canônico de decisões, legível por todos os agentes, porque escolha que mora só na minha cabeça não é auditável por ninguém, a começar por mim. É a pergunta do CAVA em versão caseira: um verificador independente consegue reproduzir depois a identidade da ação.

Venho repetindo que quem controla as narrativas controla o mundo, e a semana me obriga a refinar. Quando qualquer pessoa pode gerar qualquer coisa em segundos, a narrativa deixa de ser escassa. O que fica escasso é a procedência. Não o texto, mas o comprovante de quem assinou, quando, e sob qual autorização. Capital simbólico, daqui para a frente, inclui a capacidade de provar a autoria do ato.

Ando lendo um livro sobre Git, dessas leituras utilitárias que a gente faz sem esperar nada, e o estranho foi perceber que a ferramenta que todo programador usa há vinte anos já é uma máquina de atestação: cada commit carrega autor, instante e um hash que muda se um único byte mudar. Ninguém chamou aquilo de governança, era higiene. Os três documentos desta semana estão tentando levar essa higiene para o lugar onde um agente aperta o botão. Na mesma cabeceira está Bleak House, que abre com a névoa cobrindo Londres e um processo em Chancery atravessando gerações, devorando fortunas e não decidindo nada, porque o tribunal produz documento sem produzir fato. É o retrato da governança que fica no relatório. Papel que descreve a conduta nunca foi a conduta.

A Sociedade do Cinismo tem resposta pronta para tudo isso, e é dar de ombros: não dá mais para saber o que é real. Soa como lucidez e é rendição, porque quem se declara incapaz de distinguir também se declara dispensado de assinar. Detectar falsificação é sempre correr atrás. Assinar o verdadeiro é chegar antes.

E aqui isso encosta em você, se toca um negócio pequeno praticamente sozinho. Enquanto tudo passa pelas suas mãos, o registro da operação é a sua memória, o que é frágil, mas ao menos é seu. No instante em que você coloca um sistema para propor, responder e publicar no seu lugar, a pergunta deixa de ser se funcionou e passa a ser se você consegue provar o que ele fez. Delegar sem recibo não é alavancagem, é perder o rastro do próprio negócio. Ser autor da própria narrativa, em 2026, começa a significar uma coisa pouco poética: ter uma operação que executa e deixa prova.

O mundo continua sendo produto de quem cria. Só que, desta semana em diante, também é produto de quem consegue provar que criou.

Fico por aqui, guardando os recibos do que crio.

Lucas Jonas Fernandes