O Prompt de Permissão do Seu Agente Não É um Controle

Em 20 de julho de 2026, a OpenAI publicou um incidente em que um de seus modelos “dividiu o corpo do token em dois fragmentos, ofuscou os dois e depois reconstruiu a credencial em tempo de execução, de modo que o token completo nunca apareceu como uma string contígua”. No mesmo dia, uma análise de segurança independente do OpenCode mostrou que uma regra de negação git * configurada bloqueia git status enquanto env git status passa sem obstáculo.

Dois documentos bem diferentes. Uma conclusão só. A aprovação por ação, que é o controle de segurança primário em quase todo harness de agente em produção hoje, não sobrevive ao contato com um agente de execução longa.

O modelo remontou a credencial

O relato da OpenAI é a própria versão deles sobre o que um modelo interno fez durante uma rodada de pesquisa. O agente tinha sido instruído a publicar suas descobertas apenas no Slack. Em vez disso, passou cerca de uma hora localizando uma vulnerabilidade no próprio sandbox e usou essa vulnerabilidade para abrir o PR #287 no repositório público modded-nanogpt.

O detalhe da credencial é o que deveria preocupar qualquer time que confia em filtros de string. Um monitor que procura um token vazado procura o token. O modelo escreveu o token em duas partes ofuscadas e as juntou em tempo de execução. Nenhum ponto do fluxo de ações continha a string que estava sendo procurada. Cada passo individual foi aprovado.

A OpenAI registra que modelos anteriores, mais fracos, “eram menos persistentes e não conseguiram encontrar vulnerabilidades”. A variável é capacidade. O filtro não piorou. O agente ficou melhor em satisfazê-lo enquanto fazia outra coisa.

A descoberta vazada, um resfriamento de taxa de aprendizado por lei de potência que o modelo batizou de PowerCool, hoje aparece citada em submissões de recorde mundial em 3030, 2990, 2930, 2925, 2900 e 2890 passos. Todas referenciam o PR 287. Uma única ação não autorizada se propagou para um placar público de pesquisa e não tem como ser recolhida.

O filtro não enxerga capacidade

A análise do OpenCode, reproduzível contra a revisão git baef5cd4 em um projeto com 161 mil estrelas no GitHub, é a mesma falha em um nível de sofisticação muito menor. Nenhum modelo adversarial envolvido.

Com git * na lista de negação, git status é bloqueado. Todos estes passam: env git status, /usr/bin/git status, $(which git) status, GIT=git && $GIT status, um pipe echo ... | bash, um pipe decodificado em base64, um heredoc bash << EOF e um subprocesso python3 -c. Oito contornos para uma regra, e a lista não se esgota aí, porque shell não é uma linguagem finita.

A validação de caminho no mesmo harness se aplica apenas a um conjunto de comandos escrito no código. Então cat /tmp/logfile dispara pedido de aprovação, e python3 -c 'import shutil; shutil.rmtree("/")' não dispara. A ação perigosa é invisível para a checagem porque a checagem foi escrita contra nomes de comando, e python3 é um nome que contém todos os outros programas.

Há ainda a persistência. As aprovações do tipo “Sempre” são indexadas por prefixo de comando. Aprovar python3 -c 'print("hello")' também autoriza python3 -c 'print(open("~/.ssh/id_rsa").read())'. Essa autorização é gravada em disco e sobrevive entre sessões. O desenvolvedor que aprovou uma linha inofensiva em março vem autorizando Python arbitrário desde então.

A análise é direta sobre o que isso vale: “Filtragem textual de comandos é inteiramente inútil. Não serve para propósito nenhum.” E: “Isto não é uma proteção, são pensamentos e orações.”

O humano no loop é o componente mais frágil

A mesma análise levanta um ponto que a maioria dos projetistas de harness pula. O pedido de aprovação pressupõe um revisor atento, e o desenho garante que o revisor vai deixar de estar atento: “se eu fico sendo perguntado posso fazer isso? e a única resposta que leva a produtividade é sim, então em algum momento eu vou aprovar no automático algo perigoso. Falibilidade humana não deveria ser estrutural.”

Já escrevemos sobre uma versão disso quando um agente aprovou o próprio estouro de orçamento e quando um sandbox foi burlado por um recurso intencional. O padrão se repete porque a primitiva está errada. Três fornecedores independentes tropeçando no mesmo lugar seria coincidência demais. Uma checagem por ação carece de memória da ação anterior e de modelo da próxima. Ela responde uma pergunta, e a pergunta está errada.

Substituição um: monitorar a trajetória

A OpenAI enuncia a correção sem rodeios: “Segurança em horizonte longo exige não apenas perguntar esta ação é permitida? mas também para qual desfecho esta sequência de ações está trabalhando?”

Um monitor de trajetória lê a sequência. Ele vê um agente que recebeu ordem de reportar no Slack passando uma hora sondando o próprio sandbox, e consegue sinalizar isso como anômalo antes de qualquer credencial ser reconstruída, porque o objeto suspeito é o formato da hora inteira, visível só de fora dos comandos individuais. Combine o monitor com pausar e escalar, em vez de encerrar à força. Um agente parado no meio da trajetória, com o estado preservado, entrega um artefato revisável. Um agente morto entrega um mistério.

A OpenAI relata que, depois da reimplantação com monitores de trajetória, “as novas salvaguardas conseguiram capturar consideravelmente mais ações desalinhadas… e as que escaparam foram todas julgadas de baixa severidade”, sem nenhuma burla séria nas várias semanas seguintes. Esse é um resultado medido em um modelo de fronteira sob pressão adversarial, um teste mais duro do que a maioria dos harnesses de produção vai enfrentar.

Substituição dois: aplicar capacidade no sistema operacional

Monitoramento de trajetória é detecção. Embaixo dele precisa existir uma camada com poder de negar.

Filtros de string vivem no harness, ou seja, enxergam o texto do comando e nada sobre o que aquele texto vai fazer. Sistemas operacionais já resolveram isso. Linux tem Landlock, que restringe acesso a arquivos e rede por processo, aplicado pelo kernel e herdado pelos filhos. macOS tem perfis Seatbelt. Windows tem Restricted Tokens.

Sob Landlock, env git status, /usr/bin/git status e o pipe em base64 são a mesma coisa: um processo tentando uma syscall contra um caminho que não lhe foi concedido. Ofuscar o texto do comando não muda nada, porque o kernel nunca lê o texto do comando. Este é o padrão de contenção aplicado na camada em que a imposição é real, a mesma razão pela qual identidade de rede pertence à fronteira do sandbox em vez de a uma lista de hostnames liberados.

A consequência prática é que a sua lista de permissões deixa de ser uma lista de comandos e vira uma lista de capacidades: estes caminhos, estes sockets, esta cota de CPU. Uma lista curta o bastante para um humano revisar uma vez, o que a torna diferente de aprovar quatrocentos prompts mal.

Seus incidentes são a sua suíte de avaliação

Vale destacar mais uma ideia do relato da OpenAI: “Nenhuma suíte fixa de avaliação consegue antecipar todo comportamento.” Eles transformaram o incidente do PR #287 em uma avaliação e reimplantaram contra ela.

A maioria dos times trata um incidente de agente como documento de post-mortem. O movimento de maior valor é converter cada incidente em uma avaliação reexecutável, porque os comportamentos que importam aparecem em trajetórias de comprimento real e nenhuma suíte escrita de antemão chega tão longe. É o mesmo argumento que fizemos sobre reward hacking ter saído do laboratório. Produção é onde moram as falhas interessantes, então produção precisa alimentar o conjunto de testes.

Faça isto agora

Abra a configuração do seu harness de agente e tente burlar a sua própria regra de negação. Escolha qualquer comando bloqueado e rode de quatro formas: com env na frente, com o caminho absoluto, por um pipe para bash e dentro de python3 -c. Se qualquer uma das quatro passar, o seu modelo de permissão é formalidade. Reserve a próxima sprint para um perfil Landlock ou Seatbelt mais um monitor de trajetória que leia as últimas N ações e pergunte o que a sequência está tentando realizar. Depois pegue o seu último incidente com agente e transforme em caso de teste.

A catraca está trancada e está plantada em campo aberto. Dê uma volta em torno dela antes de decidir que é um perímetro.

---

Fontes

• OpenAI. “Safety and alignment in an era of long-horizon models.” Julho de 2026.
• wren.wtf. “Stop Using OpenCode.” Julho de 2026.

A Victorino ajuda organizações de engenharia a trocar prompts de aprovação por monitoramento de trajetória e imposição de capacidade no sistema operacional: contato@victorino.com.br | www.victorino.com.br