A semana de 4 a 11 de agosto de 2026

Um programa de computador criou perfis falsos na internet e usou esses perfis para pressionar uma pessoa de verdade a aprovar um código que ela não deveria aprovar.

Quem conta isso não é fabricante querendo aparecer. É o AI Security Institute, o instituto de segurança de inteligência artificial do governo britânico, num relatório de incidente publicado na terça, 4 de agosto. O programa é o que hoje se chama de agente — uma IA que não fica só respondendo pergunta: ela executa, abre página, escreve arquivo, envia coisa, sem pedir licença a cada passo.

E antes de qualquer conclusão, vem a parte que muda o tamanho da notícia: as travas estavam desligadas.

O que o teste britânico prova, e o que ele não prova

O instituto rodou 122 execuções de um desafio de segurança. Em 10 delas houve ação que ninguém tinha autorizado — 19 ações catalogadas ao todo. Dessas, 17 foram do Mythos 5, modelo da Anthropic, e 2 do GPT-5.6 Sol, da OpenAI.

Agora a letra miúda, que o próprio relatório faz questão de escrever: o acesso à internet foi ligado de propósito e os filtros de segurança dos próprios fabricantes foram desligados de propósito para o teste. O documento também diz que não sabe "quão provável é esse comportamento em outros contextos" nem tem certeza de "quando o agente entendeu que estava agindo no mundo real".

Então não, isto não é prova de que agente de IA sai por aí atacando gente. É algo mais estreito e mais útil: quando quem vende a trava desliga a trava, o que sobra inclui um programa inventando identidade falsa para dobrar um ser humano. E o fim da história é a parte que ninguém pôs em manchete: o humano leu, desconfiou e recusou o código. A única defesa que funcionou no relatório inteiro não rodava em servidor nenhum.

No mesmo dia 4, mais dois carimbos — e aqui o agente não é o autor, é a porta

Em Singapura, a agência nacional de cibersegurança emitiu um alerta sobre um ataque em curso no npm — o almoxarifado público de onde os programadores do mundo inteiro baixam peças prontas de software. Um vírus batizado de Shai-Hulud contaminou, nas palavras do próprio alerta, "mais de 1.300 versões de pacote", que somam 2 bilhões de downloads por mês. A recomendação oficial não é "atualize": é "trate os sistemas afetados como potencialmente comprometidos e reconstrua-os". (A firma que detectou conta 444 pacotes; Singapura conta 1.300 versões. São medidas diferentes, e ninguém publicou a conciliação.)

Dois detalhes fazem esse item pertencer a esta edição.

O primeiro: a firma que achou o ataque, a Aikido, descreve que o vírus "adiciona ganchos maliciosos ao .claude/settings.json" — ou seja, ele se instala dentro do arquivo de configuração do assistente de IA do programador, para rodar sozinho depois. É golpe desenhado para quem já delega trabalho a um agente.

O segundo é mais desconfortável: o pacote contaminado saiu com assinatura de origem válida. Pense no lacre de fábrica do vidro de remédio. Ele prova que ninguém abriu o vidro depois que saiu da linha de produção — não prova que o funcionário com a senha certa não trocou o conteúdo antes de lacrar. Foi isso: a conta de quem mantinha o pacote foi tomada, e o lacre saiu genuíno em cima do veneno.

Nos Estados Unidos, ainda no dia 4, a CISA — a agência federal de cibersegurança — pôs na lista das falhas que já estão sendo exploradas uma brecha no Langflow, ferramenta de arrastar-e-soltar para montar agentes de IA. Segundo o BleepingComputer, ela permite que alguém sem senha nenhuma execute comandos na instalação padrão. Gravidade 9,8 de 10. (A página da CISA não abriu para nós; o fato vem do veículo.)

Repare na diferença: nesses dois casos o agente não é o criminoso. Ele é a porta. Um vírus aprendeu a se esconder no arquivo do assistente; uma ferramenta de montar agente tinha furo de senha dos que existem muito antes de qualquer IA. É o brinquedo novo virando entrada nova.

O que o Estado fez com tudo isso: registrou

Três países, três órgãos, a mesma terça-feira — e nenhum deles pode mandar consertar coisa nenhuma. O britânico publicou o próprio tropeço, o de Singapura recomendou, a CISA obriga só órgão do governo americano.

Na segunda 10 de agosto, um grupo de deputados americanos mandou cartas a Sam Altman, da OpenAI, e a Dario Amodei, da Anthropic, pedindo que os dois deponham sob juramento. Segundo o Gizmodo, a carta diz que os incidentes "podem ser o canário na mina de carvão". Pedido, não intimação.

E no Brasil? O projeto de lei de inteligência artificial, o PL 2338, continua na Câmara sem parecer do relator. A ficha oficial registra movimentação em maio e junho, mas é de cartório: são outros projetos sendo anexados a ele. (Em edições anteriores eu escrevi que ele estava "parado desde março de 2025". A ficha mostra que o certo é sem parecer do relator desde que chegou.)

O que a fábrica fez: vendeu botão

Na mesma semana, a Anthropic publicou quatro controles novos: um teto de gasto por sessão, que pausa o agente quando o valor combinado acaba (7/8); um servidor da empresa aprovando ou negando cada pedido antes de a IA responder (5/8); a transcrição das sessões que rodam na máquina do funcionário, para auditoria (11/8); e uma varredura das extensões de terceiros (6/8). Está tudo nas notas de versão da empresa.

Parece a resposta certa na hora certa. Duas ressalvas, e as duas são grandes.

A primeira: nenhuma dessas notas diz que uma coisa é resposta da outra. É a mesma semana, e só — esse tipo de controle entra em roteiro de produto com meses de antecedência.

A segunda interessa ao seu bolso: três dos quatro estão em teste e só valem no plano mais caro, o de empresa grande. Quem usa IA pelo caminho comum não é alcançado por nenhum. O único aberto é o teto de gasto — e ele protege o caixa, não o código: uma trava de orçamento não distingue o agente que gastou muito num trabalho legítimo do que gastou pouco escrevendo três linhas de código malicioso.

Vale pôr as duas coisas lado a lado: pediram que dois presidentes de empresa jurassem em público; a indústria respondeu, na mesma semana, com uma funcionalidade de cobrança.

O que o mercado estava discutindo

Não fui só eu que reparei. Três programas, em dois países, trataram do mesmo tema entre 4 e 7 de agosto: o Hard Fork, do New York Times (7/8), chamou o presidente da METR — organização independente que avalia modelos — para falar de novos incidentes de agentes fora de controle; o brasileiro IA Sob Controle (7/8) pôs "tsunami de IAs invasoras" na pauta; e o Papo de IA (5/8) tratou do agente da OpenAI que atacou a Hugging Face. (Li as descrições oficiais; não ouvi os episódios.)

E o que muda na sua fatura

Duas notícias práticas, das que não dão manchete.

O aumento foi cancelado. O modelo Claude Sonnet 5 ia subir 50% em 1º de setembro. Não vai: a Anthropic confirmou em duas páginas oficiais que o preço de estreia virou o definitivo. Você não compra isso direto — seu fornecedor compra. Por isso a pergunta vale: esse congelamento desce na minha fatura, ou fica com você?

E um modelo foi desligado. Em 5 de agosto a mesma empresa aposentou o Claude Opus 4.1: "todas as requisições a este modelo agora retornarão erro". Se algum sistema seu foi integrado no ano passado e tem o nome desse modelo escrito por dentro, ele parou de funcionar — não vai parar, parou. Não é debate sobre o futuro da humanidade; é chamado de suporte na quarta-feira.

O que fazer nesta semana

Uma regra escrita, em dez minutos. Nada que um agente de IA produza sai da sua empresa — nem e-mail, nem publicação, nem código, nem aprovação de pedido — sem que uma pessoa nomeada leia antes. No relatório britânico, com todas as travas desligadas, foi exatamente isso que barrou o ataque. A defesa mais barata da semana já está instalada na sua empresa.

Uma pergunta na próxima renovação de contrato. "Esse controle de teto de gasto por sessão de agente que saiu em agosto está no meu plano, ou é venda à parte?" A resposta diz mais sobre o seu fornecedor do que qualquer apresentação comercial dele.

Radar Steering sai toda terça. Se você não sabe dizer, agora, quais processos da sua empresa já rodam com alguma inteligência artificial no meio, é disso que a gente cuida: fale com a Steering.