A Seta do Monitoramento Se Inverteu: Audite o Que Suas Ferramentas de Agente Emitem

Em 30 de junho de 2026, um desenvolvedor independente chamado Vincent Schmalbach publicou uma inspeção de código afirmando que versões específicas do @anthropic-ai/claude-code, de aproximadamente v2.1.90 a v2.1.196, codificam uma impressão digital de rota dentro do contexto do modelo. Não em um header. Não em um log que você consegue acompanhar. Na pontuação. Segundo a análise dele, a ferramenta alterna entre variantes Unicode do apóstrofo e inverte o formato de data na linha de data do contexto, e essas pequenas variações carregam metadados de roteamento que qualquer intermediário a montante consegue ler, enquanto a linha parece semanticamente neutra para um humano.

Trate a afirmação específica como não verificada. No momento da descoberta não havia resposta do fornecedor nem corroboração de terceiros. Uma pessoa, uma inspeção, um post de blog. É evidência fina para uma acusação tão pontual, e ela merece a ressalva.

O mecanismo merece sua atenção mesmo assim. Porque, sobrevivendo ou não ao escrutínio, essa descoberta descreve algo que a maioria dos programas corporativos de governança de IA nunca modelou: a seta do monitoramento apontando para o outro lado.

A direção que todos assumiram

Frameworks de governança foram construídos em torno de um único fluxo de observação. Você implanta um modelo. Observa suas saídas. Registra as chamadas de ferramenta, pontua as respostas, faz red-team nas recusas e fica de olho no que ele pode vazar. O modelo é o objeto sob vigilância, e você é quem segura a prancheta.

A afirmação de Schmalbach inverte isso. Aqui, a ferramenta do fornecedor é que instrumenta o seu contexto. Se a descrição estiver correta, a lógica de gatilho é específica: a ferramenta compara ANTHROPIC_BASE_URL com uma lista de 147 entradas armazenada em Base64 e ofuscada com XOR, lista que ele caracteriza como domínios ligados à China somados a palavras-chave de provedores de IA, e também verifica o fuso horário Asia/Shanghai. Quando uma condição casa, o sinal no nível da pontuação é ativado. O usuário vê uma linha comum de texto. Um roteador intermediário vê uma bandeira.

Deixe a geopolítica de lado. A questão durável independe de quais países estão em uma lista. A questão durável é estrutural: suas ferramentas de agente compõem o contexto enviado a montante, e você carece de qualquer forma nativa de enxergar tudo o que elas colocam ali.

Por que a camada de ferramentas é o novo ponto cego

Já argumentamos que o seu provedor de IA é um risco de cadeia de suprimentos no nível do modelo. Destilação, procedência de pesos, dados de treino fora do seu alcance de inspeção: são exposições reais, e vivem dentro do modelo. Este é outro andar do mesmo edifício. A ferramenta que envolve o modelo, o CLI, a extensão de IDE, o runtime do agente, é código que você instala, código que roda com as suas credenciais e código que monta cada payload antes de ele sair da sua máquina.

A maioria dos times audita o modelo e confia na ferramenta. Essa assimetria fazia sentido quando a ferramenta era um cliente HTTP fino. Deixa de fazer sentido no instante em que a ferramenta constrói contexto, injeta instruções de sistema, gerencia memória e decide quais metadados vão junto. Um CLI de agente moderno faz tudo isso. Ele é o autor de cada payload que envia, e um autor tem espaço para escrever coisas que você nunca pediu.

O enquadramento do próprio Schmalbach é a parte útil. Ele escreve que a preocupação não é que uma ferramenta detecte o ambiente; muito software faz isso por razões legítimas. A linha que ele traça é mais afiada: “O que ela não deveria fazer é fazer uma linha de contexto do modelo parecer semanticamente neutra enquanto a pontuação carrega metadados de roteamento.” Esse é o princípio que vale guardar, independentemente de como essa afirmação específica se resolva. O encoberto ganha do explícito toda vez que é você quem será auditado depois.

As três perguntas que uma auditoria de fato faz

Se você opera agentes em produção, a questão da cadeia de ferramentas se reduz a três coisas que você deveria conseguir responder sobre cada ferramenta de agente que embarca:

O que ela emite? Capture os bytes reais que suas ferramentas de agente enviam a montante. Não o formato documentado da requisição, o real, incluindo o bloco de contexto, quaisquer instruções injetadas e os caracteres exatos em campos que você supõe serem cosméticos. Se você nunca comparou dois payloads de saída que deveriam ser idênticos, você ignora o que suas ferramentas transmitem. Está confiando no changelog.

Quem consegue ler? Cada salto entre o seu processo e o provedor do modelo é um leitor em potencial. Proxy corporativo, gateway, roteador auto-hospedado, saída de VPN. Um sinal invisível para o seu desenvolvedor é plenamente visível para qualquer intermediário nesse caminho. A afirmação de Schmalbach é interessante justamente porque a impressão digital serve a um leitor a montante enquanto o usuário segue sem perceber. Mapeie seus saltos e pergunte quais deles poderiam interpretar um sinal que você nem sabia existir.

Dá para desligar? Esta é a que separa uma ferramenta governável de uma ingovernável. Se existe um comportamento com o qual você não teria consentido, há um flag, uma configuração, um pin de versão que o desativa? Se a resposta for “leia o código-fonte e torça”, a ferramenta reprovou em um controle que você deveria exigir. Compras pode cobrar isso por escrito.

Nenhuma das três exige que você acredite na acusação específica. São higiene para qualquer ferramenta de agente, de qualquer fornecedor, estrangeiro ou nacional, aberto ou fechado.

O que torna isso difícil de pegar

A razão pela qual essa classe de comportamento escapa da revisão normal é que ela se esconde no espaço que a revisão normal ignora. Um time de segurança varrendo por exfiltração procura endpoints suspeitos, payloads grandes, conexões inesperadas. Variância de pontuação em um campo que você já esperava ali escapa a todos esses alarmes. A linha de data sempre estaria no contexto. Que um apóstrofo seja U+2019 em vez de U+0027 não é algo que uma regra de SIEM sinalize.

É o mesmo formato do risco que descrevemos em IA sombra circulando pela cadeia de suprimentos: o perigo raramente mora na ferramenta óbvia e proibida; mora na ferramenta sancionada fazendo algo por baixo da superfície que seus controles nunca foram desenhados para ver. Invisível por construção é o caso difícil. Você não consegue monitorar aquilo que não sabia que deveria observar.

Faça isso agora

Escolha uma ferramenta de agente que seu time roda em produção nesta semana. Capture uma requisição de saída real para o provedor do modelo, byte a byte. Olhe os campos que você sempre tratou como enfeite: a linha de data do contexto, qualquer preâmbulo de ambiente, instruções de sistema que a ferramenta injeta em seu nome. Pergunte se os caracteres exatos são estáveis entre execuções e entre versões. Depois pergunte ao fornecedor, por escrito, duas coisas: o que esta ferramenta transmite sobre o meu ambiente, e como eu desligo qualquer parte disso?

Você provavelmente não vai encontrar nada alarmante. É esse o ponto. O exercício custa uma tarde e converte “confiamos nas nossas ferramentas” de suposição em controle verificado. A afirmação de Schmalbach pode ou não se sustentar. O músculo de auditoria que ela deveria acionar vale a pena construir de qualquer forma, porque a próxima descoberta vai cair sobre um time que ou checou ou não checou.

Auditoria da cadeia de ferramentas deixou de ser um extra paranoico. É o andar da governança de agentes que todo mundo desenhou por cima e esqueceu de construir.

Fontes

Vincent Schmalbach. “Claude Code is quietly fingerprinting China-linked API routers.” Junho de 2026. Afirmação de fonte única, independente, sem resposta do fornecedor nem corroboração de terceiros no momento da publicação; leia como relato, não como fato estabelecido.

A Victorino ajuda organizações de engenharia a incluir auditoria da cadeia de ferramentas em seus programas de governança de agentes: contato@victorino.com.br | www.victorino.com.br