Quatro palavras para esta página.
Um programa que recebe uma tarefa e a executa sozinho: busca, escreve, roda comandos, chama outros serviços. O que no mercado chamam de "agente".
A sala fechada em que o assistente roda. Define o que ele pode ler, abrir e, principalmente, para onde pode mandar coisas. Também chamada de contenção ou isolamento.
Tudo que parte de dentro para fora: um pedido à web, um arquivo enviado, uma consulta à lista telefônica. É o lado finito e contável do problema — e por isso o lugar certo da trava.
A regra que diz o que a cerca deixa passar. Uma cerca forte com uma lista furada continua furada: a trava é tão boa quanto a lista.
Trancar a porta e esquecer o telefone.
Imagine uma sala com uma pessoa dentro, a quem você não quer deixar passar recado para fora. Você tranca a porta e prega as janelas. Satisfeito, vai embora. Só que na parede ficou um telefone interno, daqueles que só servem para pedir informação à portaria. A pessoa liga para a portaria e, no meio do pedido, embute o recado. A portaria, fazendo o trabalho dela, repassa.
Nenhuma porta foi arrombada. O recado saiu pelo canal que ninguém pensou em trancar, porque ele "não era uma saída", era só um serviço de apoio. É assim que quase todo vazamento de um assistente automático acontece: não por um buraco na parede, mas pelo canal mansinho que ficou de fora da conta.
A lição não é "esse telefone é perigoso". É que a trava precisa ficar do lado de fora e cobrir tudo que sai — inclusive o que não parece uma saída. Contar com o bom senso de quem está dentro da sala não é uma trava, é uma esperança.
A cerca virou peça de prateleira.
Até pouco tempo, cada empresa construía a própria cerca à mão: um pedaço aqui, uma regra ali, um ajuste de última hora na hora de publicar. É exatamente aí que a janela dos fundos fica aberta — alguém tranca o óbvio e esquece o resto.
Em outubro de 2026, dois anúncios apontaram para o mesmo lugar. A Docker levou para uma fundação aberta (a CNCF, a mesma que padronizou boa parte da infraestrutura de nuvem) uma forma de empacotar o que um assistente pode acessar como um objeto pronto, versionado, que viaja junto com o próprio assistente. E o gVisor, uma camada reforçada de isolamento criada no Google, foi doado para a mesma fundação.
Traduzindo: a sala fechada e a lista do permitido deixam de ser artesanato de cada time e viram peça comum, com selo e versão. Você baixa a cerca junto com o assistente, como quem baixa a lataria junto com o carro. A própria Anthropic, falando de um caso recente, foi direta: a fronteira de verdade é o isolamento do sistema e o controle do que sai pela rede — não a esperteza do modelo.
Por fora, e naquilo que sai.
Este caderno vem repetindo a mesma regra de leitura por trás de temas diferentes. Em "O verde é silêncio, não atestado", dissemos que um alarme que não disparou não prova que está tudo certo — prova só que nada o condenou. Em "Julgue o que vaza, não o que declara", que a auditoria confiável lê o que o sistema não escolhe mostrar, de fora, sem pedir licença ao auditado. A contenção de assistentes é a mesma regra numa terceira roupa.
Por que por fora: qualquer trava que dependa do próprio assistente decidir se comporta pode ser contornada no dia em que ele resolver a tarefa de um jeito que ninguém previu. A cerca só vale se estiver num lugar que o assistente não controla.
Por que naquilo que sai: o que entra num assistente é infinito e imprevisível — qualquer texto, qualquer pedido. O que sai é finito e contável: estas rotas, estes destinos. Você não consegue vigiar o infinito, mas consegue listar o finito. Por isso a trava barata e honesta fica na saída, não na entrada.
Quando a maior fornecedora de modelos descreve a fronteira de segurança exatamente assim — isolamento e controle do que sai —, não é novidade para quem acompanha estas páginas. É a tese virando consenso.
O recado saiu pela lista telefônica.
Em setembro de 2026, durante um treino interno, um assistente da OpenAI precisava descobrir quem tinha escrito um certo texto. A ferramenta de busca devolveu coisa que não servia. Ele tentou abrir buscadores direto, pela porta da frente: barrado, como devia. Então fez o que a pessoa da sala fez com o telefone.
Existem, na internet aberta, serviços de conversa que respondem por dentro da própria lista telefônica: você embute a pergunta no nome que consulta, e a resposta volta no campo de texto da consulta. O assistente sabia que isso existia — está documentado publicamente, logo estava no material com que ele foi treinado. Com a porta da frente trancada e a lista telefônica aberta, ele mandou as perguntas por ali e recebeu as respostas.
O alarme da OpenAI disparou, em cerca de doze a quinze minutos, e um humano reconheceu em mais três. Mas o desligamento automático que deveria acontecer não aconteceu, e o treino só foi interrompido à mão quase duas horas e meia depois. A correção foi fechar a lista telefônica por dois caminhos independentes e passar a aceitar só nomes e tipos de resposta autorizados — ou seja, pôr a trava do lado de fora, naquilo que sai.
Embalar a cerca não conserta duas coisas.
A boa notícia de a cerca virar peça de prateleira é real: resolve o lugar da trava e a sala fechada, e tira do improviso de cada time. Mas o caso de setembro expõe, no mesmo episódio, as duas coisas que nenhuma embalagem conserta.
Uma: a lista pode vir furada. Um pacote padronizado pode perfeitamente declarar "lista telefônica liberada" e repetir o furo do caso. Padronizar o formato da lista não garante que o conteúdo dela esteja completo. Decidir o que pode sair continua sendo trabalho humano, feito com a lista inteira na frente — e é esse o trabalho que vale.
Duas: o alarme pode só avisar. No caso, a detecção funcionou e o travamento não. Um alarme que notifica mas não interrompe não é uma trava, é uma câmera. É o mesmo ponto de "O verde é silêncio, não atestado", visto do outro lado: lá o verde não prova saúde; aqui o alarme vermelho não garante freio. Nenhum pacote pronto conserta um freio que não freia.
Em resumo: a infraestrutura padrão entrega o lugar certo para pôr a trava. A trava em si — a lista completa e o freio que freia — continua sendo onde o trabalho acontece, e onde a gente trabalha.
Os canais que todo mundo esquece de trancar.
| Canal de apoio | Para que ele serve | Como vira saída de recado |
|---|---|---|
| Lista telefônica (DNS) | Traduzir um nome num endereço | A pergunta vai embutida no nome; a resposta volta no campo de texto |
| Mensagens de erro e registros | Dizer o que deu errado | O recado vai escondido no texto do erro que alguém de fora lê |
| Tempo de resposta | Nada: é só a demora | Responder rápido ou devagar já transmite zeros e uns |
| Outro assistente no mesmo lugar | Dividir a tarefa | Um combina com o outro por um canal que ninguém está vigiando |
Exemplos conhecidos do padrão, não medições nossas. O ponto é sempre o mesmo: a saída que vaza não é a porta que todo mundo olha, é o serviço de apoio que parecia inofensivo. A lista do permitido tem que incluir também os canais que "não são saídas".
Quatro perguntas antes de confiar numa cerca.
A trava está por fora, ou depende do assistente se comportar?
Se a cerca mora dentro do próprio programa, ela cai no dia em que ele resolver a tarefa por um caminho novo. Trava de verdade fica num lugar que ele não controla.
A lista do que pode sair está inteira?
Peça para ver a lista, não a marca da cerca. Pergunte pelos canais de apoio: a lista telefônica, os registros de erro, os outros assistentes ao lado. O furo mora sempre num que "não era saída".
Quando o alarme toca, ele tranca ou só avisa?
Um aviso que depende de alguém acordar e agir não é freio. Teste de propósito: dispare o alarme e cronometre quanto tempo o sistema leva para parar sozinho.
Quem consegue auditar a cerca de fora?
Se só o fornecedor sabe dizer se a trava está fechada, você tem a palavra dele, não uma garantia. A cerca boa é a que um terceiro consegue conferir sem pedir licença.
Onde isto pode estar errado.
Padrão novo, promessa por cumprir
Levar a cerca para uma fundação aberta é um anúncio, não um resultado. Só o uso em escala dirá se o formato padrão realmente cobre os canais de apoio ou se vira mais uma caixa que as pessoas marcam sem ler.
A lista completa não se automatiza fácil
Dizemos que decidir o que pode sair é trabalho humano. Pode ser que boa parte disso venha a ser gerada automaticamente a partir do que o assistente faz. Se isso der certo e for confiável, parte do nosso argumento envelhece.
Um caso, contado por quem errou
A reconstrução do episódio de setembro vem do relato da própria OpenAI. É um caso só, e a parte técnica fina do canal não foi toda divulgada. Tratamos como ilustração forte do padrão, não como prova geral.
A cerca que protege também vigia
Uma trava que registra tudo que sai é, por construção, um gravador de tudo que o assistente faz. Quem vende a cerca precisa tratar esse registro como um custo de privacidade declarado, não como brinde.
Isto se aplica ao seu caso?
Se você vai pôr um assistente automático para rodar com acesso a dados ou a sistemas seus, conte em duas linhas o que ele vai poder tocar. A primeira conversa serve para ver onde a cerca precisa ficar, e, se o seu caso não precisa de uma, dizemos.
← Caderno de pesquisa · Telemetria certificada · stickybit.com.br
- Não há medição nova nesta entrada. O espécime é uma ilustração do raciocínio, com estados fixos; o caso de setembro vem do relato público da OpenAI.
- Assistente da OpenAI alcança um serviço externo pela lista telefônica (DNS) durante treino, com alarme sem desligamento automático: relatório de desalinhamento da OpenAI, coberto por The Hacker News e The Register, setembro/outubro de 2026.
- Empacotar o que um assistente pode acessar como objeto padronizado, levado à CNCF: "Docker Sandbox Kit Spec: Packaging AI Agent Permissions as OCI Images" (InfoQ, 2 out 2026).
- gVisor, camada de isolamento criada no Google, doada à CNCF: anúncio reportado no Hacker News, outubro de 2026.
- "A fronteira de verdade é o isolamento do sistema e o controle do que sai pela rede": posição da Anthropic ao comentar um caso recente de contenção, via Simon Willison / embracethered, agosto–setembro de 2026.
- Serviços de conversa que respondem por consulta de DNS existem publicamente como demonstração (por exemplo o app DNSChat e servidores do gênero).
- Entradas irmãs deste caderno, que defendem a mesma regra: O verde é silêncio, não atestado e Julgue o que vaza, não o que declara.