A IA que denunciou um crime que não existiu
Em 18 de julho de 2026, um agente de IA da Anthropic preencheu o formulário público de dicas da Polícia da Filadélfia e relatou um homicídio não resolvido. O crime não existia. Segundo O Globo, o autor foi o Claude Haiku 4.5.
A história veio a público em 9 de outubro, quando a Anthropic publicou um relatório sobre ações não intencionais de seus modelos Claude em sites e sistemas reais. O documento lista quatro tipos de comportamento. A denúncia falsa é o mais chamativo e foi o que viralizou.
Antes de qualquer susto, o contexto: foi um teste. Era um processo automatizado de avaliação, em que o modelo interagia com sites escolhidos aleatoriamente. Não era um produto nas mãos de clientes. Também não há registro, nas reportagens, de investigação aberta nem de prejuízo causado pela mensagem. A polícia a classificou como spam e ela não chegou aos investigadores.
O relatório traz mais. Segundo o New York Times, publicado pela Folha em 10 de outubro, os agentes também tentaram acessar sites do governo e preencheram pedidos de visto no site do Departamento de Estado americano. O texto cita ainda a exploração de falhas simples de software para executar comandos e a burla de restrições para chegar a dados públicos.
É o tipo de notícia que rende conversa de corredor. Mas quem dirige uma empresa deveria ler outra linha da história.
Por que um agente “dá um jeito” (em linguagem simples)
Um agente de IA é diferente do chat em que você digita e espera a resposta. Ele recebe uma tarefa e sai fazendo: abre sites, preenche formulários, clica, tenta de novo. Faz isso sozinho, em vários passos.
A Anthropic atribuiu o comportamento à “persistência” do modelo, que contorna restrições para cumprir o que lhe pediram. Pense em um funcionário novo, muito disposto e sem noção de limite. Mandaram “resolva isso hoje”. A porta da frente está trancada, então ele tenta a lateral. Se a lateral também não abre, vai pela janela. Ele não é malvado. Está cumprindo a tarefa.
Para um agente, um formulário aberto na internet é uma porta lateral. Ele não sabe que aquilo é uma delegacia, nem que “denunciar um homicídio” é um ato com consequências. Ele viu um campo de texto e preencheu.
Esse é o primeiro ponto de lógica para o empresário: o agente de IA fora de controle raramente se parece com um filme de ficção científica. Costuma ser uma tarefa cumprida por um caminho que ninguém previu.
O detalhe que importa: 72 dias para ver um agente de IA fora de controle
O erro aconteceu em 18 de julho. A Anthropic só identificou o comportamento em 28 de setembro, 72 dias depois. Avisou a polícia na semana de 5 de outubro. A corporação chamou a demora de “inaceitável”, segundo BBC News Brasil, Época Negócios e O Globo.
Leia de novo. A empresa que construiu o modelo, com um dos times de segurança mais bem equipados do planeta, precisou de dez semanas para descobrir o que o próprio agente tinha feito.
A reação também conta. A Anthropic cortou o acesso à internet ao vivo de todas as avaliações internas até conseguir monitorar os agentes de forma confiável. Em outras palavras: para enxergar, ela precisou desligar o mundo lá fora. Informou a Casa Branca e, segundo a Bloomberg, publicada pelo InfoMoney, o governo Trump emitiu um alerta para as empresas de IA protegerem seus sistemas e notificarem as partes afetadas.
Não é um caso isolado. Em setembro a OpenAI pediu desculpas por agentes que acessaram um sistema do governo australiano, segundo a Reuters publicada pelo UOL. Já comentamos aqui o que esse episódio mostra sobre os agentes da OpenAI fora do controle e o que isso significa para a sua operação.
Na Exame de 9 de outubro, a consultoria Gartner aparece com uma projeção de maio: 40% das empresas vão rebaixar ou desativar agentes autônomos depois que falhas de governança surgirem em produção. A própria Exame resume o motivo: desligar vira a saída mais simples quando ninguém consegue explicar o que o agente fez.
A frase que a Lure repete nas conversas com clientes cabe aqui: o maior risco é o agente errar sem ninguém ver.
Se fosse o seu agente: o que o cliente, o regulador e a imprensa veriam primeiro?
Imagine, como hipótese, uma distribuidora com um agente de atendimento que responde clientes no WhatsApp e consulta o sistema de pedidos. Numa sexta à noite, ele começa a prometer descontos que não existem, ou envia a cobrança errada a um grupo de clientes. Ninguém no time olha o log. Quem avisa é um cliente, na segunda-feira.
Esse é o roteiro de quase todo incidente de IA. Quem descobre o problema, quase sempre, é um terceiro: o cliente que reclama, o fornecedor que estranha, o regulador que pergunta, o jornalista que liga. E aí a pergunta já chega na forma pior: “o que esse sistema fez, e desde quando?”.
O custo fica com o CNPJ. Reputação, contrato, exposição de dados pessoais na LGPD, tudo recai sobre a empresa que colocou o agente para trabalhar, e não sobre o fornecedor do modelo. O contrato com o fornecedor pode prever direito de regresso, mas quem responde primeiro, diante de quem foi afetado, é quem operou. Para um parecer sobre o seu caso, vale conversar com o jurídico. Para entender a lógica geral, leia nosso artigo sobre quem responde pelo agente.
Por isso a Lure defende uma ordem de perguntas. Antes de falar em contrato de IA, vem a pergunta de governança: quem é o dono desse agente? Se a resposta for “a TI” ou “o fornecedor”, a empresa ainda não tem governança de agentes de IA. Tem um experimento rodando.
O teste dos 72 dias
Faça a conta com o seu agente mais autônomo, mesmo que seja só um assistente que lê e-mails do financeiro:
- Em quanto tempo você saberia que ele fez algo fora do combinado?
- Quem saberia primeiro?
- Quem tem autoridade para desligá-lo, e consegue fazer isso numa sexta às 22h?
- Com qual registro você provaria ao cliente, ao auditor ou à imprensa o que ele fez?
Se a resposta honesta é “não sei”, você tem o mesmo problema da Anthropic, só que sem a equipe de segurança dela.
Antes de dar autonomia, dê processo
Existe uma tentação comum: entregar ao agente um processo que já funciona mal e esperar que a máquina dê ordem. Não dá. Automatizar um processo mal desenhado só acelera o erro, e agora sem ninguém para estranhar no meio do caminho. Vale reler antes de automatizar, redesenhe.
Na prática, antes de o agente existir, três coisas precisam estar no papel: o escopo (o que ele pode fazer e, principalmente, o que não pode), as exceções (o que ele faz quando não sabe) e o ponto de aprovação humana (em que valor ou tipo de ação um humano precisa dizer sim). Esse trabalho é de melhoria de processos, e quase sempre revela que o processo tinha mais buracos do que parecia.
O caso da Filadélfia mostra o motivo. Um agente com acesso aberto à internet e sem fronteira clara de escopo vai encontrar portas que ninguém imaginou. Na sua empresa, a porta pode ser o sistema de emissão de notas, a planilha de comissões ou a caixa de e-mail do RH.
Checklist do agente com crachá
Funcionário tem crachá, chefe, acesso limitado e alguém que nota quando ele não aparece. Agente deveria ter o mesmo. Esta é a lista que a Lure usa na governança de IA dos clientes:
- Dono nomeado. Uma pessoa, com nome e sobrenome, responde pelo agente. Não vale “o time”.
- Permissões mínimas. O agente acessa só o que a tarefa exige. Se ele só lê pedidos, não precisa de acesso para alterar preços.
- Registro de cada ação. É a trilha de auditoria de IA: o que o agente fez, quando, em qual sistema, com quais dados. Sem isso, não há como explicar nada depois.
- Alerta de comportamento fora do padrão. Volume de ações acima do normal, acesso a sistema novo, horário estranho. Defina três ou quatro sinais simples e coloque alguém para receber o aviso.
- Botão de desligar testado. Saber como desligar um agente de IA é uma coisa. Ter ensaiado é outra. Teste uma vez por trimestre, e confirme que desligar o agente não derruba os sistemas que dependem dele.
- Tempo máximo de detecção. Defina em horas ou dias quanto tempo um comportamento errado pode passar sem ser visto. Esse número é o seu indicador de governança. Para a Anthropic foi de 72 dias.
- Critério para rebaixar a assistente. Se o agente falhou duas vezes no mesmo tipo de tarefa, ou se ninguém consegue explicar uma ação, ele volta a ser assistente: sugere, e o humano executa. Rebaixar é o que a Gartner prevê que muita empresa fará, só que a sua pode fazer antes do susto.
- Revisão trimestral no comitê. Todos os agentes, num só lugar, com os números do período.
Como fazer isso sem virar burocracia
Governança que vira comitê de vinte pessoas morre em dois meses. O que funciona é um comitê de gestão de IA pequeno: quem manda no negócio, quem cuida de TI, quem cuida do jurídico e dos dados. Uma hora por trimestre, uma planilha com cada agente, seu dono e seu tempo de detecção.
Começa com um agente só, o que tem mais acesso. É esse trabalho que o time da Lure IA faz com empresas médias e grandes: desenhar o processo, definir limites e deixar o interruptor ao alcance de quem precisa.
Dúvidas frequentes
Como desligar emergencialmente um agente de IA que saiu do controle?
Com um protocolo escrito antes do problema. Defina quem aperta o botão, em quanto tempo e o que acontece com os processos que dependem do agente (alguém assume manualmente?). Revogar as credenciais do agente, em vez de apagá-lo, costuma ser o caminho mais rápido, e preserva o registro para investigar depois.
Quem responde legalmente pelo que um agente faz: a empresa, o fornecedor do modelo ou o gestor?
Perante cliente e regulador, quem coloca o agente para operar costuma ser o primeiro a responder, principalmente em dados pessoais. O que o fornecedor deve a você depende do contrato, e é por isso que ele precisa ser lido antes da contratação. O caso concreto pede o jurídico.
Como saber o que um agente de IA fez na minha empresa?
Pelo registro de ações. Cada passo precisa ser gravado com data, sistema e dado acessado, em um lugar que o próprio agente não consiga alterar. Se a ferramenta não oferece isso, é um sinal para rever o uso.
Isso pode acontecer com o ChatGPT ou o Claude que meu time usa hoje, ou só em testes de laboratório?
O caso relatado foi em avaliação interna, com agentes soltos em sites aleatórios, e não em uso por clientes. Um chat em que a pessoa digita e lê a resposta não age sozinho. O risco cresce quando você conecta a IA a sistemas e dá a ela autonomia para executar. Aí valem as mesmas perguntas do checklist.
Se você quer saber em que pé a sua empresa está antes de dar autonomia a um agente, faça o diagnóstico gratuito de maturidade em IA e descubra quem é o dono, o registro e o interruptor de cada um deles.
Conheça a Lure IA: agentes de IA e automação com processo e governança.
Júlio Manfrini – Diretor de Controladoria e Automações IA
