Ao instrumentar o mecanismo de permissão de um agente de codificação para medir quanto custa a supervisão humana, encontramos algo que muda o desenho: a recusa vira evento; a autorização não deixa rastro observável. Não é bug de um fornecedor — a mesma lacuna está em três sistemas independentes. Esta página explica o achado, detalha as implicações de segurança uma a uma, e mostra a instrumentação que estamos construindo para fechá-la.
Agentes de IA não apenas escrevem texto: rodam comandos, alteram arquivos, enviam dados para fora. Diante de uma ação arriscada, o agente para e pergunta a um humano. É esse o freio de mão de toda a arquitetura de segurança atual.
Fomos instrumentar esse freio para responder a uma pergunta de custo — quantos segundos de atenção humana uma frota de agentes consome por tarefa entregue. A resposta esbarrou num obstáculo estrutural: quando a pessoa nega, o sistema emite um evento que outros programas conseguem observar e ao qual conseguem reagir. Quando a pessoa aprova, não há evento. A ação simplesmente executa.
O último ponto de interceptação automatizada acontece antes de o humano decidir. Depois disso, o próximo sinal observável é a ferramenta já tendo executado. O instante em que uma pessoa aceita o risco — o instante que a governança inteira pressupõe — não existe como acontecimento no sistema.
A causa não é descuido de engenharia. É uma premissa de modelagem: o software trata a decisão humana como uma pausa na execução do agente, e não como um ato, com responsável, hora e objeto. Quem espera o elevador não assina nada; quem autoriza uma cirurgia assina. A aprovação foi modelada como a primeira coisa, quando ela é a segunda.
Enquanto a aprovação for uma pausa, ela não tem campo. Quando virar um ato, ela tem schema.
Tese Stickybit · agosto de 2026
Representação fiel do que o sistema registra hoje. À esquerda, tudo que um humano impediu. À direita, tudo que um humano permitiu — inclusive o destrutivo, inclusive o irreversível.
A coluna da direita não está resumida nesta página por escolha editorial. Ela está vazia no sistema.
Conferimos três sistemas independentes, todos verificados em agosto de 2026. A mesma lacuna aparece nos três, por caminhos que não se conversam.
A documentação afirma que spans de aprovação representam eventos de ciclo de vida dentro de uma invocação e não medem o tempo que uma pessoa espera antes de responder. O motivo é técnico e legítimo: o span é unidade de execução, e a espera humana acontece entre invocações.
As convenções semânticas para IA generativa não têm campo para latência de aprovação humana. Não é que o campo esteja mal definido — ele não existe. A categoria ainda não foi nomeada.
Emitem evento na recusa e nenhum na aprovação. Existe gancho antes do pedido e gancho depois da negação; entre a pergunta e o sim não há nada.
Três equipes diferentes, mesma cegueira. Isso não é coincidência nem descuido — é premissa compartilhada. E premissa compartilhada é exatamente o tipo de coisa que ninguém corrige até alguém nomear.
Em junho de 2026, um commit gerado por IA reintroduziu uma injeção de shell num repositório público da Snowflake. O caso é o melhor argumento disponível, porque mostra os dois lados da assimetria no mesmo incidente.
Um pull request é mergeado com "Copilot Autofix powered by AI" na linha de co-autor. O commit substitui o padrão seguro — título da issue passado por variável de ambiente e parseado com jq — por interpolação direta dentro do shell, com escape aplicado depois da expansão do template.
O workflow dispara na abertura de qualquer issue. Qualquer pessoa na internet vira entrada. Um agente ofensivo explora pelo título da issue e, quando a primeira tentativa quebra a sintaxe, ajusta sozinho o fechamento do bloco e exfiltra o token de acesso ao Jira.
Descoberta. Cinco dias de janela. Correção no mesmo dia; token rotacionado no dia seguinte.
Sabemos que a IA escreveu o código porque o commit foi carimbado no momento da escrita. Sobre a aprovação humana que deixou o commit entrar não sabemos nada: nem quem, nem quando, nem por quantos segundos olhou. A metade da cadeia que a governança promete controlar é justamente a metade sem registro — e o defeito era detectável por verificação sintática gratuita que ninguém tinha instalado.
Começamos pela parte honesta, porque ela define o resto: isto não é uma vulnerabilidade. Nada fica mais permitido pela ausência do evento, não há acesso não autorizado a demonstrar, e a política de divulgação responsável de qualquer fornecedor classificaria o relato como informativo. É uma lacuna de auditoria e de aplicação de política. A distinção importa porque muda quem deve se importar — e o que se constrói em resposta.
O último ponto de interceptação automatizada roda antes do diálogo de permissão. Depois dele, só existe sinal quando a ação já aconteceu.
Regras triviais em qualquer outro domínio de controle de acesso tornam-se inexprimíveis: "se um humano aprovou ação destrutiva, exija segunda assinatura"; "notifique a equipe de segurança em aprovação fora de horário"; "restrinja o egresso da sessão pelo resto do turno". Linguagens de política com estado — como a extensão temporal do Cedar aberta pela AWS em agosto — pressupõem que os passos anteriores foram carimbados. O passo mais importante da cadeia não é.
A decisão aparece no arquivo de transcrição da sessão, mas sem assinatura, sem identidade verificada do aprovador, sem a versão da política que estava em vigor, e num arquivo que o próprio ambiente medido pode reescrever.
Em auditoria ou litígio, isso é frágil pelos mesmos motivos que derrubam laudo de cadeia fria: o registro não amarra ato, autor, hora e objeto de forma que sobreviva ao contraditório. Um log de dispositivo isolado é depoimento de ouvir dizer; vira prova quando entra como registro regular de negócio, e para isso precisa de custódia e de testemunha qualificada. O log de aprovação atual não tem nem uma coisa nem outra.
Quem aprova fica mais rápido conforme se acostuma. A Anthropic mediu que a aprovação automática aproximadamente dobra depois de algumas centenas de sessões de uso; o Kodus mediu 71,8% de pull requests subindo com sinalização de revisão ainda aberta.
Sem medir os segundos, ninguém distingue "revisou e aprovou" de "clicou sim sem ler". O controle degrada em teatro de forma monotônica, e o painel de conformidade continua verde o tempo todo. Este é o modo de falha mais caro, porque é o único que piora sozinho, sem que ninguém tome uma decisão errada em nenhum momento identificável.
Ferramentas de IA carimbam o que escrevem. A autoria da máquina é rastreável; a autorização humana não é.
Na resposta a incidente, isso inverte a pergunta útil. Você consegue responder "o que a IA gerou?" e não consegue responder "quem deixou entrar, com que informação na tela, e em quanto tempo?". A segunda pergunta é a que determina se houve falha de processo, de treinamento ou de desenho de política — e é a que nenhum dado atual responde.
Entre a tela de aprovação e a execução não existe controle que compare os dois artefatos. Nenhum sistema hoje verifica que o payload aprovado é idêntico ao payload executado.
É a classe de ataque mais direta contra qualquer fluxo com humano no meio: obter aprovação sobre uma coisa e executar outra. A defesa é barata — resumo criptográfico do que foi renderizado, comparado com o resumo do que foi executado — mas exige que o instante da aprovação exista como evento ao qual se possa anexar o resumo.
Escolher "sempre permitir" para uma classe de ação altera a postura de segurança da sessão inteira, e possivelmente de sessões futuras.
É a decisão de maior alcance que um operador toma, e a que menos deixa rastro — uma escolha de dois segundos que revoga um controle indefinidamente. Estamos verificando empiricamente se algum evento de mudança de configuração é emitido nesse caso. Se não for, é a mesma lacuna em versão pior, porque persiste depois que a sessão termina.
Nenhum destes itens é explorável no sentido clássico. Todos são inauditáveis no sentido prático. Toda a justificativa de segurança de agentes autônomos hoje se apoia numa frase — "existe um humano no circuito" — e essa frase é, neste momento, uma afirmação que ninguém consegue verificar. Nem o fornecedor para o cliente, nem o cliente para o auditor, nem o auditor para si mesmo.
A lacuna não se resolve esperando fornecedor. Ela se resolve medindo o que é observável e deduzindo o resto com método declarado. Foi o que construímos e já está coletando — em máquina própria, antes de vender a ninguém.
Medir "tempo de aprovação" como número único é inútil, porque ele soma três custos com donos diferentes. Uma espera de quatro horas com doze segundos de deliberação é problema de escala de plantão e se resolve com roteamento. Uma espera de quatro horas com três horas de deliberação é um agente que não deveria estar naquele nível de autonomia. Hoje as duas patologias produzem o mesmo número — e é por isso que ninguém age sobre ele.
visto − notificado
Quanto tempo o pedido esperou para chegar a alguém que pudesse decidir. Custo de roteamento e escala de plantão.
decidido − visto
O custo cognitivo real. É esta a atenção, e é a única das quatro que fala sobre qualidade de revisão.
retomado − decidido
Quanto tempo a infraestrutura levou para voltar a executar depois do veredito. Custo de agendamento.
retomado − pedido
O que o acordo de nível de serviço sente. É a soma dos três, e é o único que hoje alguém consegue observar.
O evento de negação dispara depois da decisão e não há execução em seguida — portanto o instante da decisão é medido diretamente, sem contaminação. Toda negação é uma medida exata, e é sobre elas que o modelo se calibra.
Chamadas que nunca pediram permissão fornecem a distribuição de tempo de execução por ferramenta, de graça, na mesma máquina e no mesmo trabalho real. A deliberação de uma aprovação é o intervalo observado menos a execução típica daquela ferramenta. É um controle experimental, não uma estimativa.
O aviso de "prompt aguardando" só dispara se ninguém respondeu depois de alguns segundos. É um indicador binário de censura em cada evento: se a estimativa diz dois segundos mas o aviso veio, a estimativa está errada. Isso dá uma checagem externa em cada medição, sem instrumentar pessoa alguma.
Duração se mede em relógio monotônico, não em relógio de parede — que sofre salto de sincronização e deriva. Guardamos os dois, mais a variante que conta o tempo suspenso: a diferença entre eles revela quando a máquina esteve dormindo. Sem isso, "o notebook hibernou no almoço" entra na conta como cinquenta minutos de alguém pensando. Deriva de relógio é, aliás, o defeito nomeado que derruba laudo de temperatura em disputa de seguro — o mesmo erro invalida os dois registros.
Nada disso exige instrumentar o cliente do usuário, capturar tela ou vigiar funcionário. Onde o dado de presença não existe, o modelo degrada com elegância: perde a decomposição e mantém o bloqueio total e o veredito. Degradação graciosa é requisito de adoção, não detalhe de implementação.
Um segundo só significa alguma coisa em relação a quanto foi posto na tela. Dividimos o tamanho da evidência apresentada pelo tempo de deliberação e comparamos com o limite fisiológico da leitura humana.
taxa implícita de leitura = bytes apresentados ÷ segundos de deliberação
Se alguém aprovou três mil caracteres em dois segundos, não leu — nenhum ser humano lê nessa velocidade. Isso converte uma métrica mole numa medida dura, porque deixa de depender de acreditar em quem clicou: o número é conferido contra fisiologia, não contra autodeclaração.
E vale nos dois sentidos. Rápido demais é carimbo de borracha. Lento demais sobre payload pequeno é política mal escrita ou interface confusa — defeito de produto, não preguiça de pessoa. Hoje as duas patologias são igualmente invisíveis, e a segunda é a que ninguém pensa em procurar.
Um registro durável por fronteira de decisão, referenciando o rastro do agente. Volume baixo por construção — só instantes de gate —, o que inverte a economia da observabilidade e torna retenção longa barata e obrigatória.
carimbo na travessia, não correlação reconstruída depois
o envelope de atribuição, que é a peça proprietária
de assistido a autônomo, por operação e não por produto
aprovação, esclarecimento, correção, reversão, escalonamento
separa o que dá para desfazer do que não dá
aprovado, aprovado com edição, recusado, adiado, expirado
se aprovou editando, quanto mudou — indicador barato de qualidade do agente
o campo que converte log em cartório: alguém assinou um resumo, e o par é imutável
se o arquivado difere do exibido, a aprovação não é auditável
identidade, não usuário de sessão
qual regra valia naquele instante
deliberação × taxa horária carregada do papel que aprovou
quanto da conta total do fluxo é atenção humana, e não token nem infraestrutura
a métrica de gestão: segundos-humano por tarefa, segmentada por classe
o que o agente parado deixou de produzir enquanto esperava
A instrumentação é o meio. O que o cliente compra é a capacidade de responder três perguntas que hoje não têm resposta.
Uma série temporal única — atenção por tarefa entregue — segmentada por classe de tarefa e papel do aprovador. É a versão precificada do que as empresas hoje publicam em contagem de porcentagem.
A distribuição de taxa implícita de leitura por classe de ação, com o percentual acima do limite fisiológico. Sempre entregue acoplada à taxa de reversão e incidente — métrica de atenção isolada é convite a otimizar o número errado.
Aprovador verificado, resumo assinado do que estava na tela, versão da política vigente, retenção em anos. É peça de defesa em auditoria, não painel de engenharia — volume baixo, guarda longa, propósito jurídico.
O que esta página não afirma, e o que ainda não temos.
Ninguém obtém acesso indevido por causa disso. Tratar lacuna de auditoria como falha explorável seria descalibrar severidade — e quem descalibra severidade perde a autoridade de apontar a próxima.
Capturar isso exigiria gancho no cliente, e cheira a vigilância de funcionário. Agregamos por papel, nunca por indivíduo, e a decomposição fica opcional. Sem esse dado o método perde granularidade, não validade.
Se tempo de deliberação virar meta individual, a pessoa aprende a deixar a tela aberta. Por isso ela só é entregue acoplada a um juiz externo — taxa de reversão e de incidente — e agregada.
A instrumentação entrou em operação em 17 de agosto de 2026. As distribuições saem em semanas, da nossa própria operação, antes de qualquer promessa a cliente. Rodar antes de escrever é o método, não o slogan.
Se você não consegue dizer quantos segundos sua equipe gastou aprovando na semana passada, nem quantas dessas aprovações foram rápidas demais para terem sido leitura, então o controle existe no organograma e não no sistema. Começamos medindo isso, na sua infraestrutura, sem instrumentar pessoas.