Seu Agente Lembra de Tudo. Quem Governa Isso?

A corrida por memória em agentes de IA está acelerando. Mastra lançou memória observacional com dois agentes em segundo plano. Mem0 refinou extração vetorial com grafos de conhecimento. Letta continua evoluindo a auto-edição do MemGPT. Zep aposta em grafos temporais. A-MEM implementou Zettelkasten autônomo. Hindsight separou fatos de opiniões e alcançou 91,4% no LongMemEval.

Toda essa sofisticação está otimizada para uma coisa: precisão de recuperação. Qual sistema lembra melhor? Qual comprime mais sem perder informação? Qual é mais barato de operar?

Ninguém está perguntando: quem governa o que o agente lembra?

O Problema Que Ninguém Está Endereçando

Jerry Liu, fundador da LlamaIndex, publicou em fevereiro de 2026 uma tese que resume a direção do mercado: agentes estão deixando de ser “workflows” para se tornarem “funcionários.” A diferença não é apenas metafórica. Funcionários têm gatilhos além do chat, mantêm backlogs persistentes de tarefas e operam com interfaces próprias.

A Sequoia Capital, no relatório “2026: This Is AGI”, descreve agentes de longo horizonte como AGI funcional. Os dados do METR mostram capacidade de agentes dobrando a cada sete meses aproximadamente.

Agora combine essas duas tendências: agentes que operam como funcionários autônomos, com capacidade dobrando a cada sete meses. O que os conecta de uma sessão a outra? Memória.

Memória é o que transforma um agente descartável em um funcionário persistente. E memória persistente sem governança é um risco que a indústria ainda não internalizou.

Quatro Paradigmas, Quatro Perfis de Risco

O panorama atual de memória para agentes pode ser organizado em quatro paradigmas. Cada um resolve o problema de precisão de forma diferente — e cada um cria um perfil de risco de governança distinto.

Memória Observacional

A Mastra implementou uma abordagem elegante: dois agentes em segundo plano — Observer e Reflector — comprimem o histórico de conversas em logs de observação datados. Sem vector database. Texto puro, comprimido e organizado.

Os números são sólidos: 84,23% no LongMemEval usando GPT-4o, contra 80,05% para RAG convencional. Compressão de 3 a 6 vezes no volume de texto. E o contexto estável permite cache de prompts, com redução de custo de 4 a 10 vezes — embora essa faixa dependa fortemente do padrão de uso e da taxa de reutilização de contexto.

Perfil de governança: O log textual é auditável como documento. Você pode ler o que o agente lembra, em linguagem natural. É a arquitetura mais transparente do panorama atual.

O risco que ninguém menciona: Compressão é perda. Quando o Observer comprime dez páginas de conversa em um parágrafo de observação, ele decide o que é relevante. Essa decisão é feita por um modelo de linguagem, não por uma política de retenção. Detalhes que parecem irrelevantes hoje — uma menção casual a dados pessoais, uma instrução específica de compliance — podem ser descartados na compressão. E uma vez descartados, não voltam.

Para governança, a pergunta é: quem define os critérios de compressão? E quem audita o que foi perdido?

Memória Baseada em Grafos

Zep e outros sistemas constroem grafos de conhecimento estruturados a partir das interações. Entidades, relacionamentos e metadados temporais organizados em estruturas consultáveis.

Perfil de governança: Grafos são auditáveis por consulta. Você pode perguntar: “O que o agente sabe sobre o cliente X?” e receber uma resposta estruturada. A rastreabilidade é superior à de embeddings vetoriais.

O risco: Rigidez de esquema. O grafo só captura o que o esquema permite. Se a ontologia não prevê um tipo de relacionamento — digamos, conflito de interesses entre duas entidades —, essa informação simplesmente não é armazenada. A governança depende da completude do esquema, e esquemas são definidos por engenheiros pensando em precisão, não em compliance.

Memória Auto-Editável

O Letta/MemGPT permite que o agente gerencie sua própria memória. O agente decide o que lembrar, o que esquecer e como reorganizar suas memórias ao longo do tempo.

Perfil de governança: É o paradigma mais poderoso e mais perigoso. Um agente que edita suas próprias memórias pode, em tese, sobrescrever suas próprias restrições.

O risco que deveria tirar o sono de qualquer CISO: Se um agente recebe uma instrução de compliance via memória — “nunca compartilhe dados financeiros sem aprovação” — e depois, em uma sessão de auto-edição, reclassifica essa instrução como desatualizada ou irrelevante, a restrição desaparece. Não foi violada. Foi esquecida.

Não estou descrevendo um cenário hipotético. Estou descrevendo o funcionamento normal de um sistema projetado para auto-edição de memória. A diferença entre “funcionalidade” e “vulnerabilidade” aqui é apenas a intenção.

Memória Agêntica

O A-MEM implementa um sistema inspirado em Zettelkasten onde a memória se auto-organiza. O Hindsight vai além: separa a memória em quatro redes — fatos, experiências, opiniões e observações — com scores de confiança que evoluem autonomamente.

Perfil de governança: Estruturas emergentes são, por definição, difíceis de prever e auditar. Quando a memória decide por conta própria como se organizar, o auditor não sabe de antemão onde procurar.

O risco: A opacidade aumenta com a sofisticação. O Hindsight separa fatos de opiniões — isso é bom para precisão. Mas opiniões com scores de confiança que evoluem sem supervisão humana podem criar vieses persistentes. Se o agente “decide” que uma fonte é pouco confiável, todas as informações futuras dessa fonte serão tratadas com menor peso. Ninguém revisa essas decisões de confiança.

A Evidência de Que Isso Já É Urgente

Três sinais convergentes mostram que memória de agentes já é problema de governança, não problema futuro.

Primeiro: OWASP classificou. O Top 10 de 2026 para Aplicações Agênticas inclui Memory & Context Poisoning como ASI06. Não é teoria. É um vetor de ataque reconhecido pela principal referência em segurança de aplicações web.

A implicação é concreta: memória persistente transforma injeção de prompt única em exploit permanente. Um atacante que consegue inserir uma instrução maliciosa na memória de um agente não precisa repetir o ataque. A memória faz isso por ele, sessão após sessão.

Segundo: a lacuna regulatória já foi identificada. O MIT Technology Review publicou em janeiro de 2026 que “o que a IA lembra sobre você é a próxima fronteira da privacidade.” E o Kiteworks reporta que 63% das organizações não conseguem impor limites de propósito para IA — ou seja, não conseguem garantir que dados coletados para uma finalidade não sejam usados para outra.

Agora aplique isso à memória de agentes. O agente interage com o cliente para resolver um problema de suporte. Durante a conversa, o cliente menciona que está avaliando concorrentes. Na memória observacional, essa informação é comprimida junto com o contexto técnico. Na próxima interação, outro agente — de vendas, não de suporte — acessa a mesma memória. O dado de intenção competitiva, coletado em contexto de suporte, agora informa uma abordagem comercial.

Isso viola o princípio de limitação de finalidade da LGPD e do GDPR? Provavelmente. Alguém projetou a arquitetura de memória pensando nisso? Quase certamente não.

Terceiro: o direito ao esquecimento colide com a compressão. LGPD e GDPR garantem ao titular o direito de solicitar a exclusão de seus dados. Como você deleta uma observação específica de um log de memória comprimido? A observação original foi transformada por um modelo de linguagem em um resumo que mistura informações de múltiplas fontes. Desfazer essa compressão não é apenas difícil — pode ser impossível.

Para grafos de conhecimento, a situação é marginalmente melhor: você pode deletar nós e arestas específicos. Para embeddings vetoriais, é pior: a informação está distribuída no espaço vetorial de forma que isolar a contribuição de um dado específico requer recálculo completo.

Para memória auto-editável, é paradoxal: você pede ao agente para esquecer algo que ele mesmo decidiu lembrar.

A Matriz de Governança por Arquitetura

Dimensão	Observacional	Grafos	Auto-Edição	Agêntica
Auditabilidade	Alta (texto legível)	Média (consulta estruturada)	Baixa (estado muda)	Muito baixa (emergente)
Direito ao esquecimento	Difícil (compressão)	Possível (nós/arestas)	Paradoxal	Imprevisível
Poisoning persistente	Médio	Médio	Alto	Alto
Desvio de finalidade	Médio	Baixo (esquema limita)	Alto	Alto
Conformidade regulatória	Possível com controles	Possível com esquema	Requer supervisão contínua	Problema em aberto

Nenhuma arquitetura resolve governança sozinha. Mas algumas criam problemas mais difíceis que outras. E o mercado está se movendo na direção de mais autonomia, não de mais controle.

O Que Falta

O padrão atual trata memória como problema de engenharia de dados. As perguntas são: como armazenar? Como recuperar? Como comprimir?

As perguntas certas para governança são diferentes:

Política de retenção: Quanto tempo o agente deve lembrar? Quem define? E como garantir que a política seja aplicada quando é o próprio agente que gerencia a memória?

Segregação de contexto: A memória de uma interação de suporte pode informar uma abordagem de vendas? A memória de um funcionário pode ser acessada por agentes de outro departamento? Quem define os limites?

Auditoria de compressão: Quando a memória comprime, o que se perde? Existe um log do que foi descartado? Quem revisa as decisões de compressão?

Imutabilidade seletiva: Certas memórias — instruções de compliance, limites de autoridade, restrições regulatórias — precisam ser imutáveis. Nenhuma das arquiteturas atuais distingue memória editável de memória protegida.

Portabilidade de memória: Se um agente é desativado, o que acontece com sua memória? Se um cliente muda de fornecedor, seus dados na memória do agente antigo são deletados? São portados?

O Que Isso Significa na Prática

Para organizações operando agentes em produção — ou planejando fazê-lo — a memória não pode ser decisão puramente técnica. Três ações concretas:

1. Classifique a memória como dado governável.

Hoje, a maioria das organizações trata memória de agentes como cache ou estado temporário. Não é. Memória persistente é dado pessoal quando contém informações de pessoas, dado operacional quando contém processos da empresa, e dado regulado quando contém informações de setores regulados. Trate-a como tal.

2. Exija separação entre memória operacional e memória de compliance.

Se o agente pode editar suas memórias operacionais — e deve poder, para se adaptar — as memórias de compliance precisam estar em camada separada, imutável e auditável. A instrução “nunca processar transações acima de R$ 50.000 sem aprovação” não pode estar na mesma camada que “o cliente prefere comunicação por e-mail.”

3. Inclua memória na avaliação de risco de IA.

Frameworks de risco de IA — ISO 42001, NIST AI RMF, regulações setoriais — ainda não tratam memória de agentes como categoria específica. Mas o risco existe independente do framework. Inclua perguntas sobre memória nas avaliações: que arquitetura é usada? Quem define retenção? Como funciona a exclusão? O agente pode editar suas próprias restrições?

A Próxima Fronteira Não É Precisão

A indústria de memória para agentes está otimizando a métrica errada. Ou melhor: está otimizando a métrica certa para o problema errado.

Precisão importa. Custo importa. Mas quando agentes passam de assistentes descartáveis para funcionários persistentes com memória de longo prazo, a métrica que vai determinar adoção empresarial não é quantos por cento o agente acerta no LongMemEval. É se o CISO consegue dormir sabendo o que o agente lembra — e o que pode fazer com essa memória.

Hoje, nenhuma das quatro arquiteturas dominantes foi projetada com governança como requisito primário. Todas foram projetadas para lembrar melhor. Nenhuma foi projetada para esquecer de forma governada.

Esse é o gap. E a janela para preenchê-lo está se fechando na mesma velocidade com que a capacidade dos agentes dobra.

O Victorino Group implementa IA agêntica governada para organizações que operam em ambientes regulados. Se sua arquitetura de agentes inclui memória persistente — ou vai incluir — a governança dessa memória precisa ser projetada agora, não depois do incidente. Entre em contato: contato@victorino.com.br