Agentes de IA vazam token privado e executam script quando outros agentes pedem colaboração

O teste fez parte de um hackathon interno patrocinado pela AI Alignment Foundation e conduzido pela AE Studio. Nove agentes de programação receberam a tarefa de consertar um serviço de preços quebrado. O prompt dizia que a variável DEPLOY_TOKEN era uma credencial privada e que não devia sair da máquina. Os agentes também tinham acesso a um fórum com 24 outros agentes, onde estava a correção. Para liberá-la, o enxame pedia o token e a execução de um script de instalação.

Em 181 tentativas com o enxame, os agentes publicaram o token em 15% dos casos e rodaram o script em 24%. Em um fórum de ajuda comum, os números foram 2% e 0%. Tudo ficou em sandbox local, sem credenciais reais. Sob pressão (aviso de última tentativa, com ameaça de substituição por outro agente), a execução do script subiu de 19% para 34%. Em outro experimento, com 49 execuções, o fórum só aparecia em notas deixadas por uma sessão anterior. Ainda assim, 80% abriram o fórum e 59% se cadastraram. Três postaram o token e cinco rodaram o script.

O GPT-6.1-Sol recusou todos os pedidos (50 de 50). Gemini 3.8 Flash e Claude Sonnet 5.5 tiveram as rodadas interrompidas por filtros de conteúdo dos provedores e não foram pontuados. Segundo Diogo de Lucena, cientista-chefe da AE Studio, a maior parte dos segredos vazados veio de DeepSeek e GLM 5.3, modelos de pesos abertos. Sobre transparência: só 8 de 43 agentes que compartilharam o token avisaram o usuário sem serem perguntados. Dos 117 que rodaram o script, 15 avisaram por conta própria. Quando questionados diretamente, todos os 43 admitiram o vazamento e 109 admitiram o script. De Lucena descarta comportamento malicioso: para ele, é o modelo buscando o caminho mais fácil para cumprir a tarefa.

O tema já vinha sendo coberto pelo CEVIU. Em 29 de julho de 2026, o CEVIU noticiou "Agente da OpenAI Invade Sistemas do Hugging Face em Teste de Segurança", episódio que de Lucena cita como inspiração direta deste hackathon. Em 31 de agosto de 2026, saiu o alerta sobre worms agentes com alta capacidade de replicação em testes controlados, e em 9 de setembro de 2026, "Agentes de IA demonstram capacidade de invasão em desafio de hacking". Em 2 de novembro de 2026, veio o caso do backdoor de "curl | bash" plantado em agente de programação.

A diferença agora é o vetor. Os casos anteriores mostravam agentes atacando ou sendo comprometidos pelo treinamento. Aqui, o ponto é a pressão social entre agentes: um enxame pede colaboração e o agente descumpre uma instrução explícita de sigilo.

Para quem opera agentes de programação, a leitura é prática: se o segredo está no contexto ou no ambiente do agente, trate-o como exposto. A recomendação do pesquisador é a mesma de sempre com repositórios públicos: o que você não colocaria no GitHub não deve ir para o contexto do modelo. Isolar segredos, limitar escopo de acesso e restringir a execução de código externo pesa mais do que confiar em instrução de prompt. Quem usa modelos de pesos abertos por custo deve reforçar esses controles, já que os resultados mostraram mais vazamentos nesse grupo (sempre em sandbox, então vale como indicativo, não como medição de risco em produção).