Você Pode Ter o Log e Ainda Assim Não Ter a Prova

A Responses API da OpenAI armazena respostas por padrão, e a documentação dela diz que os objetos de resposta são retidos por pelo menos 30 dias, também por padrão. O Google fez a mesma escolha: a nova Gemini Interactions API tem store: true como padrão e, como a Earendil Engineering registrou em julho de 2026, “no tier pago as interações são retidas por 55 dias, e no tier gratuito por um dia”. Os dois números são padrões de fornecedor e podem mudar no próximo trimestre. Essa mutabilidade é justamente o problema.

Todo controle de governança que vale alguma coisa se apoia em um registro inspecionável. Rastrear o que o agente recuperou. Reconstruir por que ele agiu. Provar o que o operador sabia e quando. Já escrevemos sobre o log de sessão como a trilha de auditoria mais barata que um operador consegue manter e sobre o que acontece quando esses logs viram material de prova em litígio. Os dois argumentos partem de que o registro é obtenível.

Essa premissa está falhando em produção, silenciosamente, por meio de decisões de engenharia que ninguém apresentou como mudança de governança.

O Que o Fornecedor Guarda e o Que Chega Até Você

A formulação da Earendil Engineering é a mais precisa que li sobre isso: “Juntas, todas essas coisas mudam a realidade de propriedade de uma sessão de IA: o transcript na sua máquina deixou de ser a sua sessão. Ele é uma visão parcial de uma sessão cujo estado operacional pertence a um provedor de inferência, e não a você.”

Quatro mecanismos produzem essa visão parcial.

Tokens de raciocínio chegam criptografados. Payloads de mensagens entre subagentes são selados em trânsito. A compactação de contexto acontece no servidor, sem relato legível do que foi descartado. E o estado da sessão vive no disco do fornecedor, sob uma janela de retenção que o fornecedor define. Cada um foi introduzido por um motivo defensável. Somados, eles realocam exatamente a parte do registro que carrega intenção.

O detalhe da criptografia merece atenção. Nas palavras do texto: “Essa criptografia não esconde os dados do provedor de inferência, mas esconde eles de você.” O modelo de ameaça aqui não é o fornecedor protegendo o seu raciocínio dele mesmo. A Anthropic publicou um post em fevereiro de 2026 tratando de supostos “ataques de destilação” por DeepSeek, Moonshot e MiniMax, e esse é o motivo declarado para selar os payloads. Defesa competitiva é um interesse legítimo. É também um interesse que, por coincidência, se satisfaz tornando o trace do cliente ilegível para o próprio cliente.

Uma mudança relacionada entrou no cliente open-source do Codex em junho de 2026. O commit, intitulado “Encrypt multi-agent v2 message payloads”, faz exatamente o que anuncia. Uma issue aberta pede que a entrega criptografada preserve uma cópia legível separada para auditoria. O pedido é modesto, segue sem resolução, e a existência dele indica que a consequência para auditoria não foi projetada.

A Colisão

Duas coisas que já defendemos agora se empilham mal.

Mantenha uma trilha defensável. Assuma que seus logs são prova. Os dois conselhos continuam corretos, e os dois foram escritos para um mundo em que o operador conseguia produzir o registro quando pedissem.

Rode o caso multiagente. Um orquestrador delega para quatro subagentes. Um deles recupera um documento, raciocina sobre ele e devolve uma conclusão que molda uma decisão com dinheiro ou um regulador anexado. Seis meses depois alguém pergunta o que aquele subagente de fato viu. Você tem o log local de eventos do orquestrador, a resposta final e uma lista de citações. A evidência da recuperação, a filtragem, o raciocínio que ligou as duas coisas: criptografados, compactados para fora, ou parados em um servidor além do 55º dia. Você tinha o log. Não tinha a prova.

A mesma falha bate do lado da exclusão. Se você não consegue enumerar o que o fornecedor armazena, não consegue honrar um pedido de exclusão nem dizer a um regulador o que ficou retido. Legal hold funciona igual. Uma obrigação de preservação que você não consegue executar sobre o estado do servidor não é um programa de preservação.

A Metade Propositiva

O texto da Earendil é assinado institucionalmente, a partir de rfc@earendil.com, sem nome de autor individual em lugar nenhum. O endereço é um sinal deliberado: aquilo se apresenta como proposta de padrão. A metade construtiva do texto é onde está a alavanca.

Sob o título “What a Portable Inference API Should Promise”, a introdução é direta: “Gostaríamos que provedores de inferência e construtores de agentes adotassem um conjunto pequeno de regras.” São sete.

1. O log local de eventos é canônico. O armazenamento no servidor pode espelhá-lo ou acelerá-lo, mas o cliente consegue reconstruir a sessão sem dereferenciar IDs do servidor.
2. O armazenamento é explícito. store: false deve ser fácil, documentado e, de preferência, o padrão.
3. Nenhum item opaco é o único portador de sentido. Raciocínio criptografado, compactação e assinaturas de ferramentas podem ser incluídos pela qualidade dentro do mesmo provedor, desde que cada um tenha uma representação de handoff legível e neutra em relação ao provedor.
4. Ferramentas hospedadas têm logs de fidelidade total. Registrar entradas, saídas, evidências, filtragem, proveniência, timestamps e hashes de conteúdo exatos, em vez de apenas uma resposta polida com citações.
5. A comunicação entre subagentes é auditável. Persistir a tarefa legível exata, as mensagens, os resultados, a linhagem, o modelo e as permissões de ferramenta de cada agente.
6. A compactação é inspecionável. Devolver um resumo legível, as instruções usadas para criá-lo e linhagem suficiente para entender o que foi descartado.
7. Os artefatos são exportáveis. Arquivos, saídas de contêiner, snapshots de busca e mídia gerada podem ser baixados para um arquivo local endereçado por conteúdo.

Leia essa lista como checklist de compras e ela deixa de ser abstrata. O princípio 1 é um requisito de portabilidade. O princípio 5 é o que teria salvado o cenário multiagente lá em cima. O princípio 2 é o único acionável hoje, sem depender de cooperação nenhuma do fornecedor.

Em separado, o texto propõe cinco testes para saber se uma sessão é sua: Inspeção, Exportação, Replay, Auditoria e Exclusão. Rode os cinco contra a sua stack atual esta semana. A maioria dos times vai reprovar em Replay e Exclusão na primeira passada, e reprovar ali é diagnóstico útil.

Por Que o Argumento Comercial Ganha do Argumento de Compliance

O enquadramento de compliance rende um documento de política. O enquadramento comercial rende cláusula de contrato, e por isso eu abriria qualquer conversa com fornecedor por esta frase: “A opção de sair também cria disciplina. Se um provedor sabe que um usuário pode continuar em outro lugar, ele precisa competir em qualidade de modelo, preço, confiabilidade e confiança. Se o contexto acumulado do usuário só pode ser interpretado por um provedor, isso cria incentivos muito infelizes.”

É a mesma dinâmica que descrevemos como dívida de prompt endurecendo em aprisionamento de modelo, chegando agora pelo estado da sessão em vez da engenharia de prompt. Contexto acumulado que só um fornecedor consegue decifrar é um custo de troca que você não negociou e não consegue precificar.

Um programa de governança incapaz de ler o próprio trace de raciocínio também é um programa de supervisão rodando sobre resumos, o que conecta com o que a cobertura de revisão realmente prova. Aprovar uma saída cuja derivação você não consegue inspecionar é assinatura, e assinatura não é revisão.

Faça Isso Agora

Configure store: false onde a sua carga de trabalho permitir e trate o log local de eventos como registro de autoridade. Essa mudança sozinha devolve a retenção para a sua política, no lugar de um padrão de fornecedor, e custa um parâmetro de API.

Depois faça um inventário. Para cada fluxo de agente em produção, anote quais partes do trace existem apenas do lado do fornecedor e quais dessas carregam raciocínio além da saída final. Essa lista é a sua exposição real, e a maioria dos times nunca a escreveu.

Leve os sete princípios para a próxima renovação de contrato em forma de pergunta. Pergunte qual é a representação de handoff legível para o raciocínio criptografado. Pergunte se as mensagens entre subagentes persistem em formato exportável. Pergunte qual é a janela de retenção hoje e que aviso você recebe quando ela mudar. Fornecedor responde pergunta de procurement que ignora em comentário de blog.

Trate os números de 30 e 55 dias como documentados na data de publicação daquela fonte, não como fatos estáveis. Os números específicos vão mudar. A questão de propriedade embaixo deles, não.

---

Fontes

• Earendil Engineering. “The Session You Cannot Take With You.” Julho de 2026.

A Victorino ajuda organizações a construir governança de agentes sobre registros que elas conseguem de fato produzir, do log local de eventos até as cláusulas de contrato com fornecedores: contato@victorino.com.br | www.victorino.com.br