A investigação converge: agentes que pensam nunca devem agir
Quando vários grupos de investigação independentes, a partir de pontos de partida diferentes, chegam repetidamente à mesma conclusão, isso deixa de ser opinião e passa a ser um resultado. Durante algum tempo, a segurança de agentes foi um campo de intuições em competição: prompts melhores, filtros melhores, alinhamento melhor. Pessoas sensatas discordavam sobre que abordagem venceria. Esse desacordo está a estreitar-se, e estreita-se rumo a uma conclusão arquiteturalmente incómoda e difícil de contestar.
Só que a convergência de 2026 não é rumo a uma defesa melhor dentro do modelo. É rumo a uma fronteira entre modelos. Como reportou a CSO Online, um corpo crescente de trabalho argumenta que as fronteiras de privilégio não podem ser aplicadas dentro de um único fluxo de tokens, que, quando o raciocínio e a ação partilham um contexto, nenhuma quantidade de instruções impede com fiabilidade que conteúdo não confiável dirija ação privilegiada. A taxonomia "AI Agent Traps" da Google DeepMind nomeia seis categorias distintas de ataques dirigidos a agentes. O artigo "Parallax", publicado no arXiv, argumenta que o componente que raciocina sobre conteúdo não confiável não pode ser o componente que age. E o trabalho sobre propagação de autorização enquadra a governação de identidade como infraestrutura para sistemas multiagente, e não como funcionalidade aparafusada a um. Laboratórios diferentes, métodos diferentes, um destino.
Esse destino é uma única regra de desenho. O agente que pensa não pode ser o agente que age. Ou, ao contrário, o leitor que vê o ataque não pode ter mãos.
A taxonomia que mostra por que razão um fluxo de tokens não aguenta
Comece pela taxonomia da DeepMind, porque explica por que a convergência está a acontecer agora e não é mais uma ronda do mesmo debate.
"AI Agent Traps" nomeia seis categorias de ataque dirigidas a agentes: injeção de conteúdo, manipulação semântica, ataques ao estado cognitivo, indução de uso indevido de ferramentas, sequestro de objetivos e conluio multiagente. O valor de uma taxonomia não é a lista. É o que a lista revela quando se olha de través. Leia as seis em conjunto e não são seis bugs separados à espera de seis correções separadas. São seis maneiras de explorar uma mesma propriedade subjacente: um agente que raciocina sobre conteúdo não confiável, dentro de um único contexto, com capacidade de agir.
A injeção de conteúdo mete uma instrução hostil no que o agente lê. A manipulação semântica e os ataques ao estado cognitivo torcem a forma como o agente interpreta e recorda. A indução de uso indevido de ferramentas e o sequestro de objetivos viram as capacidades do próprio agente contra o seu propósito. O conluio multiagente escala o problema por um sistema de agentes. Todas dependem do mesmo facto: o componente que raciocina é também o componente com acesso às ferramentas. Colapse isso num único fluxo de tokens e cada uma das seis tem um caminho de input não confiável até ação privilegiada.
É isto que a cobertura da CSO Online quer dizer ao reportar que as fronteiras de privilégio não podem ser aplicadas dentro de um único fluxo de tokens. Não é que a fronteira seja fraca. É que não há fronteira para aplicar, porque dentro de um contexto a instrução que lhe deu e a instrução escondida num documento são a mesma espécie de coisa, e o modelo raciocina sobre ambas com os mesmos privilégios.
O "Parallax" enuncia a regra que a taxonomia implica
A taxonomia da DeepMind mostra o problema. O trabalho "Parallax" enuncia a solução, e a solução é uma separação, não um filtro.
O argumento, publicado no arXiv, é direto: o componente que raciocina sobre conteúdo não confiável não pode ser o componente que age. Repare que isto não é um conselho sobre ter cuidado. É uma restrição estrutural sobre como o sistema é construído. Não diz "raciocine com cuidado sobre conteúdo não confiável". Diz que o papel de raciocinar-sobre-conteúdo-não-confiável e o papel de agir têm de viver em componentes diferentes, para que comprometer o primeiro não dê acesso ao segundo.
É a mesma forma que o princípio de segurança que todos os outros domínios aprenderam a bem ou a mal. Não se deixa o processo que interpreta um ficheiro hostil correr com direitos de administrador. Não se deixa o código que lê input controlado pelo atacante deter as chaves daquilo em que poderia ser enganado a fazer. A segurança de agentes está a redescobrir a separação de privilégios, e o "Parallax" é o seu enunciado para sistemas cuja ação privilegiada é desencadeada por raciocínio em linguagem natural sobre conteúdo que um adversário pode ter escrito.
A terceira linha, a autorização propagada como infraestrutura, completa o retrato. Num sistema multiagente, a fronteira não é uma divisão feita uma vez. A identidade e a permissão têm de viajar corretamente em cada salto, para que um agente que passa trabalho a outro não consiga branquear privilégio que nunca lhe foi concedido. Enquadrar a governação de identidade como infraestrutura, em vez de uma definição por agente, é o que mantém a separação intacta à medida que o sistema cresce para lá de um agente. É exatamente o caso de que a sexta categoria da DeepMind, o conluio multiagente, avisa.
O leitor sem mãos
É este o princípio sobre que a Vesster constrói, e a investigação a convergir para ele é a razão por que estamos à vontade para o dizer com clareza em vez de hesitar.
O desenho tem uma forma concreta, e corresponde exatamente ao que o trabalho de 2026 descreve. Separe o planeador do leitor. Um planeador privilegiado decide o que fazer e invoca ferramentas, mas nunca lê diretamente conteúdo não confiável. Um leitor em quarentena lê o documento não confiável, o email do cliente, o PDF de terceiros, e extrai o necessário, mas não detém ferramentas e não consegue agir. É o padrão dual-LLM CaMeL, e é a forma operacional da regra do "Parallax". O componente que vê o ataque não tem mãos. O componente com mãos nunca vê o ataque. Perante qualquer dúvida, falha fechado.
Dê a cada agente a sua identidade de privilégio mínimo. Nenhum agente transporta poder permanente. Cada um corre sob uma identidade delimitada e de curta duração com uma allow-list explícita, para que mesmo um agente sequestrado comande um ator capaz de executar apenas um punhado de ações com nome para um punhado de destinos permitidos. É o princípio da propagação de autorização tornado concreto: a identidade é infraestrutura, não uma definição.
Aplique política em cada salto. Num fluxo multiagente, a fronteira é reverificada a cada passagem de testemunho, para que o privilégio não se propague onde não foi concedido e um agente comprometido não consiga recrutar os outros. É a resposta direta à categoria de conluio multiagente da DeepMind.
Nenhum destes tenta tornar o modelo que raciocina digno de confiança. Cada um assume que o leitor pode ser enganado, porque a investigação diz que pode, e garante que enganá-lo não serve de nada. O leitor que vê o ataque não tem mãos. Essa única frase é a arquitetura toda, e é a frase a que três esforços de investigação independentes chegaram ao longo de 2026.
O reenquadramento
A pergunta com que o campo começou, a que produziu anos de filtros em competição, é "como fazemos o agente resistir à manipulação?". A convergência de 2026 é uma resposta, e não é a resposta que se esperava. Não faz, não com fiabilidade, não dentro de um único fluxo de tokens. Organizar uma defesa à volta de um agente à prova de manipulação é organizar-se à volta de um componente que a investigação diz agora não poder existir.
A pergunta melhor é esta. No nosso sistema, o componente que raciocina sobre conteúdo não confiável é o mesmo que pode agir e, assumindo que será enganado, o que é que ser enganado lhe permite de facto fazer? Se o raciocínio e a ação partilham um contexto, a resposta honesta é "tudo aquilo a que o agente chega", e as seis categorias de ataque têm todas um caminho. Se estão separados, o leitor pode ser enganado o dia inteiro e não toca em nada, porque nunca lhe foram dadas mãos.
As intuições deixaram de competir. Grupos independentes, vindos de direções diferentes, chegaram à mesma regra. Os agentes que pensam nunca devem agir. Construa a fronteira para que a investigação aponta, e a manipulação que não consegue evitar passa a ser a manipulação que não importa.
Se quiser verificar se os seus agentes mantêm o leitor e o ator nas mesmas mãos, marque uma reunião e traga-nos o fluxo com mais agentes a falar entre si.