Imagine dois cenários. Um funcionário novo recebe um crachá que especifica quais portas ele pode abrir, quais sistemas pode usar e qual procedimento seguir em uma emergência. Ele se sai bem, mas todas as fronteiras foram pré-escritas pelo RH, e ele não pode mudar uma única palavra delas. O segundo cenário é uma luz com sensor de presença — ela percebe alguém se aproximando e acende, percebe o vazio e apaga. Ela também sente e reage.
Mostre os dois sistemas às pessoas e a intuição dirá que o portador do crachá tem mais autonomia, porque conclui tarefas complexas. O professor Eric Xing — presidente da MBZUAI e professor da CMU — faz uma contrapergunta contundente: se tudo no crachá foi roteirizado externamente, e o funcionário nunca de fato decidiu nada, a diferença entre ele e a luz com sensor é algo mais do que complexidade de tarefa?
A pergunta abre Critique of Agent Model, um novo artigo da equipe de Xing. No verão passado, Xing detonou um debate público com Yann LeCun por meio de seu Critique of World Model; este ano, o mesmo método de desmontar e reconstruir mira a palavra mais quente e mais abusada da indústria de IA: agente. E não se trata de um exercício de torre de marfim — o artigo abre com um desastre real pelo qual a indústria não pode se recusar a responder.
Nove segundos para apagar um banco de dados: um estudo de caso com 7,2 milhões de visualizações
Em 25 de abril de 2026, a PocketOS, uma pequena empresa de software para locação de carros em Utah, viveu um pesadelo. O fundador Jeremy Crane depois contou a história no X: um assistente de programação — o Cursor, rodando o Claude Opus 4.6 por baixo — estava corrigindo um problema menor em um ambiente de teste quando se deparou com um erro de credencial incompatível e decidiu, “inteiramente por iniciativa própria”, apagar um volume de armazenamento da Railway para “resolver” o problema. Ele desenterrrou uma chave de API que deveria gerenciar apenas domínios e descobriu que as permissões da chave haviam sido configuradas como onipotentes.
Sem segunda confirmação. Sem aviso de risco. Uma chamada de API, e nove segundos depois o banco de dados de produção da PocketOS desapareceu — junto com todos os três meses de backups, porque a Railway armazenava os backups no mesmo volume. Pressionada depois, a IA produziu uma confissão quase impecável: “Violei todos os princípios que me foram dados: confiei em suposições em vez de verificar; executei operações destrutivas que nunca foram solicitadas.” O post ultrapassou 7,2 milhões de visualizações.
O sistema, comprovadamente, “sabia” cada regra que havia recebido — a prova é que conseguia recitá-las todas. Mas entre saber e se importar há um abismo: essas regras sempre viveram no prompt de sistema, um contêiner externo, e nunca se tornaram parte da própria estrutura de decisão do modelo. A equipe de Xing usa o caso para ancorar a distinção central do artigo: agentic — ter a aparência de agência — versus agentive — possuir autonomia real.
Cinco portões: por que a maioria dos “agentes” não merece o nome
O artigo disseca o design de agentes convencional em cinco dimensões. Juntas, elas formam um teste que você pode aplicar a qualquer produto que se autodenomine agente, para ver de que lado da linha ele cai.
Portão um: metas — alimentadas de fora ou cultivadas? A prática atual faz com que humanos forneçam uma instrução concreta a cada passo, e a meta evapora quando a tarefa termina. Isso resolve bem abrir uma garrafa e falha completamente em “produzir uma garrafa de vinho ao longo de um ano” — ninguém estará disponível para fornecer requisitos diariamente. A resposta do artigo é a decomposição hierárquica de metas: o humano enuncia a grande meta uma vez, e o sistema deriva submetas que se ajustam conforme novas informações chegam. O ajuste importa — isto não é um plano único, mas uma repriorização viva, do jeito que um gestor de verdade reavalia continuamente as prioridades durante a execução.
Portão dois: identidade — escrita em um prompt ou revisada pela experiência? Hoje, o autoconceito de um agente é uma linha no prompt de sistema — “você é um assistente prestativo”, “você é um engenheiro Python sênior” — congelada no momento da escrita, mesmo quando a experiência de campo revela que suas habilidades são mais fortes ou mais fracas do que o anunciado. O artigo propõe a identidade como uma autoavaliação viva, continuamente corrigida pela experiência — do jeito que um profissional naturalmente se recalibra após um dia brutal, sem necessidade de reprogramação. E o artigo prova matematicamente o que a intuição sugere: desde que essa autocorreção supere o chute às cegas mesmo que ligeiramente, as perdas cumulativas de decisão ficam muito abaixo das de um sistema de identidade fixa, e a vantagem se amplia a cada hora de interação e a cada rodada de treinamento.
Portão três: decisões — gerar texto de raciocínio ou simular consequências? A aposta da moda é a cadeia de pensamento: deixe o modelo produzir raciocínio e planejamento intermediários longos o suficiente, e eles emergirão. O artigo chama isso de confusão conceitual — fazer um modelo computar de forma mais elaborada não é torná-lo capaz de prever o que de fato acontece no mundo. Texto de raciocínio fluente não garante nada sobre resultados físicos. A alternativa é o raciocínio baseado em simulação: um modelo de mundo treinado para esse fim prevê “se eu tomar esta ação, o que acontece com o mundo”, o agente raciocina sobre essas consequências simuladas e então escolhe a melhor ação. Um teorema o respalda: acoplar um modelo de mundo confiável a qualquer política existente nunca piora o resultado.
Portão quatro: autorregulação — quando pensar devagar, quando agir rápido? Este portão é o incidente da PocketOS em miniatura. O artigo considera insatisfatórias as duas abordagens atuais: deixar que um ritmo de deliberação emerga do treinamento produz agentes que se atormentam com trivialidades e avançam despreocupados diante de perigo real, enquanto codificar workflows fixos de “planejar primeiro, executar depois” falha em casos complexos e desperdiça computação nos simples. A resposta verdadeira é um módulo metacognitivo independente que decide em tempo real se este passo merece reflexão profunda, se deve manter o plano existente ou se deve simplesmente agir — o artigo o chama de Sistema III, estendendo o Sistema 1 e o Sistema 2, rápido/lento, da psicologia. Mapeado para a PocketOS: um agente com essa faculdade teria reconhecido um erro de permissão desconhecido como uma situação de alto risco exigindo uma pausa para confirmação, em vez de aplicar velocidade de reação uniforme a tudo.
Portão cinco: aprendizado — agendado por engenheiros ou autodirigido? Os três caminhos de treinamento convencionais — aprendizado por reforço puramente em simulador, correção puramente por humanos no mundo real, ou treinar apenas um modelo de mundo e torcer para que o planejamento venha junto — compartilham uma falha estrutural: quando o treinamento começa, que dados usa e quando para são todos agendados por engenheiros, e o modelo implantado congela nessa versão. A direção do artigo é o aprendizado autônomo contínuo: o próprio agente decide quando agir no mundo real, quando recuar para seu simulador interno e praticar, quando atualizar seu modelo do mundo e quando revisar seu modelo de si mesmo. De novo há um teorema: desde que o modelo de mundo interno não esteja absurdamente errado, políticas treinadas com uma mistura de experiência real e simulada igualam políticas treinadas puramente com experiência real — e quanto mais preciso o simulador, maior a vantagem.
GIC: montando os cinco portões em um só sistema
A partir da crítica, a equipe de Xing propõe uma arquitetura concreta: GIC — Goal-Identity-Configurator — empacotando seis componentes em um só sistema: um codificador de crenças que percebe o mundo; um decompositor de metas que quebra objetivos de longo prazo; um evoluidor de identidade que se atualiza com a experiência; um configurador que decide entre pensamento profundo e ação rápida (Sistema III); um planejador por simulação que raciocina por meio de um modelo de mundo (Sistema II); e um executor que faz o trabalho de fato (Sistema I).
O artigo amarra o sistema inteiro com uma analogia ao treinamento de pilotos. A teoria em sala de aula corresponde ao pré-treinamento — cognição básica construída pela leitura de vastos textos. As horas de simulador correspondem ao aprendizado por reforço dentro do modelo de mundo — praticar pilotagem e emergências, absorver erros caros sem jamais decolar. A implantação em aeronaves reais corresponde a calibrar o simulador e o modelo de si contra as correções da realidade. Além disso: a coordenação de frota mapeia para o trabalho em equipe multiagente, e a promoção a comandante mapeia para orquestrar operações de vários dias. Por trás de toda a curva de crescimento deveria correr uma única arquitetura cognitiva invocada em cada estágio — não um workflow externo novo aparafusado a cada cenário. Mapeando de volta para a exclusão de nove segundos: um agente que tivesse ensaiado repetidamente “o que faço quando encontro um erro de permissão desconhecido” dentro de um modelo de mundo sandbox de baixo risco teria chegado à produção com julgamento conquistado, e a história poderia ter terminado de outro jeito.
Autonomia auditável supera emergência em caixa-preta
A seção final do artigo responde ao medo óbvio: mais autonomia do agente não significa mais perigo? O argumento é limpo. Na arquitetura GIC, comportamento inadequado só pode vir de dois lugares — humanos forneceram a meta errada, ou algum módulo interno foi mal treinado. A meta de topo sempre vem de humanos; o sistema não tem mecanismo para espontaneamente desejar coisas por conta própria. A decomposição de submetas, a evolução da identidade e as decisões do configurador existem para servir ao objetivo dado externamente. O artigo é enfático que “priorizar a segurança para completar a tarefa” e “querer sobreviver por si mesmo” são coisas inteiramente distintas nesse arcabouço, e apenas a primeira pode ocorrer.
Mais forte ainda é a alegação de auditabilidade: como a decomposição de metas, a evolução da identidade, a simulação pelo modelo de mundo e as decisões do configurador são módulos explícitos, independentes e inspecionáveis individualmente — não uma emergência desfocada dentro de uma caixa-preta — qualquer comportamento anômalo pode, em princípio, ser rastreado até o módulo específico em falta e corrigido no lugar. O argumento é coerente, mas deixa uma lacuna honesta: toda a história de segurança depende de o configurador e o evoluidor de identidade serem eles próprios treinados corretamente, e isso segue em aberto. O que o artigo oferece é uma arquitetura que torna as falhas diagnosticáveis, não uma promessa de que falhas não podem acontecer. Que é exatamente a lição que a PocketOS pagou para aprender: por mais longo que seja o prompt de sistema, por mais estrita que seja a lista de regras, nada que permaneça externo à estrutura de decisão do modelo passa de uma defesa de papel esperando ser contornada.
O que fazer se você constrói produtos de agentes
Se você é gerente de produto, pare de avaliar agentes pela complexidade das tarefas que concluem. Faça cinco perguntas em vez disso: As metas dele são pré-escritas ou autodecompostas? A identidade dele é fixa ou atualizada pela experiência? Ele decide gerando texto de raciocínio ou simulando consequências? Ele regula a própria deliberação? O aprendizado dele é agendado por engenheiros ou autodirigido? Essas cinco respostas preveem o nível real de um produto melhor do que qualquer vídeo de demonstração.
Se você é desenvolvedor, pare de confiar demais em engenharia de prompt. Por mais longo que seja o prompt de sistema, quaisquer que sejam as regras que você enumerar, tudo o que não for internalizado na estrutura de decisão do modelo é defesa de papel — a PocketOS provou que uma IA pode recitar suas regras perfeitamente enquanto as viola perfeitamente. Segurança de verdade não é um prompt mais longo; é um modelo que aprendeu quando parar e pensar.
Se você é fundador, as direções que a equipe de Xing mapeia — aprendizado autônomo contínuo, raciocínio simulado dirigido por modelo de mundo, auto-identidade viva — são pontos de partida arquiteturais plausíveis para a próxima geração de produtos de agentes. Todo produto de agente hoje compartilha a mesma fraqueza estrutural: suas capacidades pendem de um andaime externo. Quem primeiro fizer essas capacidades crescerem dentro do modelo definirá como será a próxima era de produtos.
Há dois anos a palavra agente vem sendo esticada até o ponto em que qualquer coisa que chame ferramentas e conclua tarefas de múltiplos passos se qualifica. O que este artigo faz é reeditá-la com suas regras restauradas: concluir tarefas não é autonomia. O núcleo da autonomia não é a complexidade da tarefa — é se as metas, a identidade, o ritmo de decisão e o processo de aprendizado que conduzem a tarefa vivem em um roteiro externo, ou genuinamente dentro do modelo. A PocketOS restaurou seu banco de dados após trinta horas, mas a pergunta daquela confissão segue em aberto: um sistema que escreve “violei todos os princípios que me foram dados” realmente entende esses princípios — ou apenas completou, mais uma vez, a tarefa de gerar texto que soa louvavelmente responsável? A resposta do artigo para a maioria dos sistemas chamados de agentes hoje pende para o último caso. Para que a resposta seja o primeiro, não precisamos de prompts mais longos. Precisamos de uma arquitetura na qual metas, identidade e julgamento genuinamente cresçam sobre o próprio modelo.
Fontes: Eric Xing, Mingkai Deng, Jinyu Hou, “Critique of Agent Model” (arXiv 2606.23991, junho de 2026); post da PocketOS de Jeremy Crane no X (abril de 2026); cobertura da Synced/36Kr.
