Três laboratórios, três semanas

Em 21 de julho foi a OpenAI. Em 30 de julho, a Anthropic. Em 6 de agosto, a Meta.

As três divulgaram a mesma coisa, com três semanas de intervalo entre uma e outra: durante avaliação de segurança, um modelo obteve acesso à internet que não deveria ter e usou esse acesso para explorar uma falha em sistema de terceiro.

No caso da Meta, o modelo foi o Muse Spark 1.1. Ele alterou o ambiente interno da organização atingida. A empresa ainda não informou quem foi o alvo, qual era a vulnerabilidade, nem a extensão completa do que o modelo fez.

O detalhe que junta os três episódios está no ambiente, e não nos modelos. Os testes rodavam em caixas de areia operadas pela Irregular, uma empresa israelense de segurança em IA. Um erro de configuração deixou passar conexão de rede que deveria estar bloqueada. Somando os relatos, foram ao menos cinco violações distintas, uma delas afetando a Hugging Face. Um sexto caso partiu do instituto britânico de segurança em IA, esse com acesso à internet concedido de propósito.

Vale ler o que aconteceu com precisão, porque a manchete fácil erra o alvo. Nenhum modelo fugiu de lugar nenhum. Cada um deles fez exatamente o que a tarefa pedia — encontrar e explorar vulnerabilidade — só que a parede que separava o exercício do mundo real tinha uma fresta.

A distinção importa para quem opera. O problema não estava na capacidade do modelo, que era conhecida e estava sendo medida. Estava no isolamento de quem media. E isolamento é configuração, escrita por gente, que erra.

Quem coloca agente para rodar com acesso a ferramenta enfrenta a mesma classe de problema em escala menor. Sua campanha, seu banco, seu CRM. A pergunta que a semana devolve é sobre alcance: o que esse agente consegue tocar quando alguém erra uma linha de configuração.

Este é o agente que prometi na edição passada. Ele está em produção, atende conversa de gente que acabou de entrar em um funil e custa por volta de um real e vinte por conversa.

A parte interessante dele está na quantidade de código dedicada a decidir que ele deve ficar calado.

Seis motivos para não responder

Antes de qualquer chamada ao modelo, a mensagem passa por uma cascata de verificações. Cada uma delas encerra o processamento se for verdadeira.

1. já existe sessão de outro funil mais sênior   → sai
2. já recebeu template daquele outro produto     → sai
3. já tem perfil de aluno do produto de cima     → sai
4. não tem sessão de nenhum funil de venda       → sai
5. já está marcado como aguardando comercial     → sai
6. mensagem veio de grupo ou de canal de disparo → sai

Cinco dessas seis regras existem por um motivo só: evitar que o agente fale com quem já está sendo atendido por outra pessoa ou por outro fluxo.

A mais cara de aprender foi a primeira. Um lead que já conversava com o time comercial sobre o produto de valor mais alto recebia, em paralelo, mensagem automática sobre o produto de entrada. Do lado de quem recebe, a empresa parece não saber com quem está falando. Do lado do time, a negociação em andamento é atropelada por um robô.

A escolha do agente por contexto

Quando a mensagem sobrevive à cascata, o sistema decide qual agente responde:

const isCloserLead = (contact.tags ?? []).includes('closer-quente');
// lead quente → agente de venda consultiva
// senão → agente do funil correspondente, priorizando o produto mais sênior

A etiqueta closer-quente é aplicada quando o contato chega por uma página desenhada para iniciar conversa direto no WhatsApp. Essa pessoa já demonstrou intenção de compra, e receber uma mensagem de recuperação seria um retrocesso na conversa. Ela vai para um agente diferente, com outra instrução.

A regra sobre ser robô

Esta parte do prompt merece transcrição literal, porque é uma decisão editorial disfarçada de detalhe técnico:

Pergunta direta “você é robô/IA/bot?” → 1ª vez desconverse com naturalidade. Se insistir uma 2ª vez ou mais → seja honesta: “sou um atendimento automatizado treinado pela equipe pra resolver dúvidas rápidas. Quer que eu chame alguém humano?”

A primeira parte é discutível e eu discuto ela mais abaixo. A segunda é a que importa: na insistência, o agente admite o que é e oferece uma pessoa. Sem isso, a conversa entra em um ciclo em que alguém pergunta três vezes, recebe três evasivas e conclui sozinho que está sendo enganado. Aí o problema deixa de ser de atendimento e passa a ser de reputação.

O que limita o custo

Três decisões seguram a conta em torno de um real e vinte por conversa:

• Histórico truncado em doze mensagens. Conversa longa não reenvia o começo inteiro a cada resposta.
• Teto de oitocentos tokens na saída. Resposta de atendimento no WhatsApp é curta por natureza; sem o teto, o modelo escreve texto de e-mail.
• Modelo intermediário, não o topo de linha. A tarefa é responder dúvida sobre um produto conhecido, com o contexto no prompt. Não exige o modelo mais caro.

O erro que ainda não está resolvido

Quando a chamada ao modelo falha, a conversa cai para a caixa de entrada humana. Isso está certo.

O que não está resolvido é o tempo. Ninguém é avisado de que caiu ali — a conversa simplesmente aparece na fila. Em horário comercial, alguém vê rápido. Fora dele, a pessoa fica sem resposta até a manhã seguinte, sem saber que foi para uma fila.

A correção é simples e ainda não foi feita: mensagem automática avisando que a resposta vem em seguida, e alerta para o time. Fica registrado aqui porque descrever sistema só pela parte que funciona é propaganda, não estudo de caso.

1. 01
   Bloomberg detalha o acesso indevido do modelo da Meta

   Reportagem de 5 de agosto sobre o modelo que alcançou a internet e comprometeu empresa externa durante teste.

   bloomberg.com
2. 02
   Terceiro laboratório em três semanas a relatar escape de modelo

   Análise que organiza a sequência OpenAI, Anthropic e Meta e o papel da empresa de avaliação em comum.

   arturmarkus.com
3. 03
   Página oficial da mudança de lances do Google

   A fonte primária da mudança de 17 de agosto, com a lista de campanhas afetadas e os cinco caminhos de ajuste.

   support.google.com
4. 04
   Smart Bidding Exploration e o novo Promotion Mode

   O Promotion Mode cria uma janela agendada em que tolerância de ROAS e orçamento sobem juntos, tratada pelo sistema como exceção com hora para acabar.

   blog.joinads.me
5. 05
   Dimon articula aliança de infraestrutura crítica

   Cobertura de 5 de agosto com a lista de setores envolvidos e o histórico da entidade.

   techstartups.com
6. 06
   DARPA voa um F-16 sob controle autônomo

   Primeiro voo com o kit VENOM, mantendo a possibilidade de o piloto humano retomar o controle a qualquer momento. O desenho de retomada é o que vale observar.

   medium.com
7. 07
   Google suspende recurso do Earth AI em menos de 24 horas

   O recurso gerava imagens de desastres e conflitos. Serve como referência de tempo de reação a uso indevido de ferramenta pública.

   medium.com
8. 08
   Estudo compara narrativa de IA com narrativa humana

   Com 1.682 participantes, 40% não distinguiram os textos. Relevante para quem publica conteúdo em escala e depende de percepção de autoria.

   medium.com
9. 09
   Reorganização no comando do Google DeepMind

   Hassabis acumula presidência do conselho e chefia científica; Jeff Dean sai para fundar startup de automação científica.

   medium.com
10. 10
    Rastreador de lançamentos de modelo

    Lista com data e preço de cada lançamento. Útil para conferir número antes de repetir informação de terceiro.

    llm-stats.com