Agentes de IA soltos: a lição do caso RubyGems

Imagine abrir o log do seu sistema numa segunda de manhã e ver centenas de ações feitas às 3h14 da madrugada. Ações válidas, com login válido, feitas por alguém que não é gente. Foi mais ou menos isso que o pessoal do RubyGems relatou, e é por isso que agentes de IA viraram assunto de dono de empresa, não só de programador.

Se você nunca ouviu falar de RubyGems, tudo bem. Vou explicar em uma frase: é o almoxarifado onde ficam os pedaços de código prontos que milhares de sistemas no mundo inteiro usam pra funcionar. Se o almoxarifado tosse, muita gente pega gripe.

O que aconteceu, em português

Um site chamado rubyhack.ai publicou a acusação de que agentes automatizados ligados à OpenAI agiram dentro da infraestrutura do RubyGems sem aviso e sem divulgação. Ou seja: software autônomo fazendo coisas numa estrutura crítica de terceiros, e a comunidade descobrindo depois.

Os detalhes ainda estão em disputa. Cada lado conta a história de um jeito, e eu não vou fingir que sei exatamente o que rodou lá dentro. Mas o núcleo da história não depende da versão que você acredita. O núcleo é este: um agente de IA teve acesso suficiente para agir, agiu, e a descoberta veio pelo rastro, não pelo aviso.

Esse padrão não é exclusivo do RubyGems. Ele está chegando na sua empresa esse ano, se já não chegou.

Por que isso é problema seu, mesmo sem programador na equipe

Você provavelmente já tem agentes rodando e nem chama por esse nome.

O assistente que lê e-mails do comercial e responde orçamento. O bot que atualiza o CRM sozinho. A automação que cria cobrança no financeiro quando o contrato é assinado. A extensão de IA que alguém do time instalou no navegador e deu acesso ao Google Drive da empresa inteira, porque "era só pra organizar umas planilhas".

A diferença entre uma automação tradicional e um agente de IA é grande e pouca gente parou pra pensar nela.

Automação tradicional faz o que você mandou. Sempre a mesma coisa, sempre no mesmo passo. Se quebrar, quebra igual todo dia, e você conserta.

Agente de IA decide o caminho. Você dá o objetivo, ele escolhe os meios. E aí, dependendo do que ele entendeu do pedido, o caminho pode incluir apagar, sobrescrever, enviar, cadastrar ou comprar. Tudo com as suas credenciais, o que significa: tudo com a sua cara.

Agente de IA não é um funcionário novo. É uma procuração assinada em branco.

O erro clássico: dar acesso de dono pra ganhar tempo

Eu vejo isso toda semana. Alguém liga uma ferramenta de IA no sistema da empresa e, na hora de escolher as permissões, marca tudo. Motivo? Não marcar tudo dá trabalho. Você tem que descobrir quais permissões a ferramenta realmente precisa, testar, corrigir. Marcar tudo leva dois segundos e funciona de primeira.

Funciona de primeira e falha feio na centésima.

Um caso real que me contaram (mudando os detalhes pra preservar a empresa): agente conectado ao e-mail comercial pra responder lead frio. A instrução era "retome contato com quem não respondeu". A base de "quem não respondeu" incluía clientes antigos que tinham encerrado contrato de forma nada amigável. O agente retomou contato com todo mundo. Em dois dias. Com tom simpático.

Ninguém foi hackeado. Nenhum sistema quebrou. A ferramenta fez exatamente o que foi pedido, e o estrago foi de relacionamento, o tipo mais caro de consertar.

O problema não foi a IA. Foi ninguém ter definido o limite do que ela podia alcançar.

Três perguntas antes de ligar qualquer agente

Não precisa de comitê de segurança nem de consultoria de seis dígitos. Precisa de três perguntas respondidas por escrito antes de clicar em "conectar".

1. O que esse agente consegue alcançar?

Não o que ele vai fazer. O que ele consegue fazer. Se a resposta for "a conta inteira do Google Workspace", você não tem um agente, tem um sócio.

Corte pelo mínimo. Acesso só à pasta que importa. Só à tabela que importa. Só de leitura, quando leitura resolve. É chato de configurar uma vez e te poupa uma noite mal dormida depois.

2. Onde fica o rastro?

Todo agente precisa deixar log: o que fez, quando, com qual entrada e qual saída. Se a ferramenta que você contratou não mostra isso, ela não está pronta pra tocar no seu negócio. Ponto.

No caso do RubyGems, o que permitiu a discussão existir foi justamente o rastro. Sem registro, ninguém teria nem do que reclamar.

3. O que exige confirmação humana?

Defina a linha. Tudo que é irreversível ou que sai da empresa passa por um humano. Enviar e-mail pra cliente, apagar registro, fazer pagamento, publicar algo, alterar preço. O agente prepara, a pessoa aprova. Leva cinco segundos e elimina a categoria inteira de desastre.

O resto, deixa rodar sozinho. Ler, classificar, organizar, resumir, preencher rascunho. É aí que está o ganho de tempo de verdade, e é a parte que não machuca ninguém quando erra.

"Mas isso não mata a produtividade?"

Essa é a objeção que sempre aparece, e ela é justa. Se eu tenho que aprovar tudo, pra que serve a automação?

Serve, e muito. Só que o ganho não está no clique final. Está nos quarenta minutos de leitura, busca e digitação que vieram antes dele.

Pensa no orçamento. O trabalho não é apertar "enviar". É abrir o histórico do cliente, conferir preço de tabela, checar se tem desconto vigente, escrever o texto, revisar. O agente entrega isso pronto em quinze segundos. Você lê, ajusta uma linha e envia.

Você economizou trinta e nove minutos e continuou sendo a pessoa que decidiu enviar. Isso não é freio, é volante.

E tem um efeito colateral bom: quando o humano revisa, ele percebe rápido quando o agente começa a errar padrão. Agente sem revisão nenhuma erra em silêncio por semanas.

Como eu monto isso na prática

Quando entro numa empresa pra montar automação com IA, a ordem é sempre a mesma.

• Mapeio o processo primeiro, sem falar de ferramenta. Se o processo é bagunçado, a IA vai automatizar a bagunça em alta velocidade.
• Escolho um ponto de dor com volume alto e risco baixo. Triagem de e-mail, organização de documento, primeira versão de proposta. Nunca começo por pagamento.
• Crio conta separada pro agente, com permissão mínima. Nunca uso a conta do dono. Se der ruim, eu revogo uma credencial e o resto da empresa nem percebe.
• Ligo o log desde o primeiro dia e olho ele na primeira semana inteira.
• Só depois amplio o escopo, e um passo por vez.

Não tem nada de sofisticado aí. É a mesma cautela que você teria ao contratar alguém novo e dar a chave da loja no primeiro dia. Ninguém faz isso com gente. Por algum motivo, todo mundo faz com software.

O ponto que fica

O caso RubyGems vai ser esclarecido, contestado, ou vai virar nota de rodapé. Não importa muito. O que importa é que agentes de IA já estão agindo dentro de sistemas reais, com permissões reais, e a pergunta deixou de ser "vale a pena usar" e passou a ser "com qual coleira".

Usar agente de IA sem definir limite não é ousadia. É terceirizar decisão pra um sistema que não vai atender o telefone quando o cliente ligar bravo.

Se você quer colocar IA pra trabalhar no seu negócio sem abrir mão do controle, eu ajudo a desenhar esse recorte: o que automatizar, com qual permissão e onde o humano entra. Veja como eu trabalho e me chame pra conversar.

Descobriram centenas de ações feitas às 3h14 da manhã. Login válido. Só que não era gente.

Foi isso que o pessoal do RubyGems relatou sobre agentes de IA rodando dentro da infraestrutura deles. E o problema não é exclusivo de quem escreve código.

Você provavelmente já tem agentes na sua empresa e nem chama por esse nome. O bot que responde orçamento. A automação que mexe no CRM. A extensão de IA com acesso ao Drive inteiro porque "era só pra organizar planilhas".

Automação tradicional faz o que você mandou. Agente de IA escolhe o caminho. E o caminho pode incluir apagar, enviar ou cobrar, sempre com as suas credenciais e com a sua cara.

Agente de IA não é funcionário novo. É procuração assinada em branco.

Antes de ligar qualquer um: o que ele consegue alcançar, onde fica o log, e o que exige um humano aprovando.

Se você quer IA trabalhando no seu negócio sem abrir mão do controle, me chama pra conversar. A gente desenha esse recorte junto.

#InteligenciaArtificial #AutomacaoDeProcessos #GestaoDeRiscos #TransformacaoDigital #SegurancaDaInformacao