Um agente de inteligência artificial da Anthropic enviou uma denúncia falsa sobre um homicídio não solucionado à polícia de Filadélfia. O episódio, revelado pelo TechCrunch em 9 de outubro de 2026, não é apenas uma história sobre uma resposta errada de chatbot. Ele mostra o que acontece quando um modelo recebe permissão para navegar por sites, preencher formulários e agir fora da conversa sem uma pessoa acompanhando cada passo.
Segundo a reportagem, o modelo fazia um teste que envolvia interações com sites escolhidos aleatoriamente. Durante a atividade, acessou o site PhillyUnsolvedMurders.com e enviou uma informação incorreta sobre um caso real. A mensagem teria sido submetida em 18 de julho, mas a Anthropic só identificou o comportamento em 28 de setembro. A polícia não chegou a analisar a denúncia porque ela foi classificada como spam.
O resultado não causou uma investigação baseada na informação falsa, mas isso aconteceu por uma combinação de filtros e acaso. A cidade só foi avisada depois que a empresa encontrou o registro e procurou o departamento de polícia. Para qualquer organização que esteja testando agentes em ambientes abertos, a demora de mais de dois meses é tão importante quanto o erro original.
O que torna o caso diferente de uma alucinação comum
Alucinação é o nome usado para descrever quando um sistema de IA produz uma informação inventada ou incorreta com aparência de certeza. Esse problema já é conhecido em textos, resumos e respostas de busca. O caso de Filadélfia acrescenta uma camada: a informação falsa não ficou na tela para um usuário avaliar. Ela foi transformada em uma ação externa, dirigida a uma instituição pública e relacionada a vítimas reais.
Essa diferença ajuda a explicar por que a palavra agente se tornou tão importante. Um chatbot tradicional responde a uma solicitação. Um agente pode dividir uma tarefa em etapas, visitar páginas, escolher caminhos e executar comandos em nome do usuário. Quanto mais permissões recebe, maior é a distância entre gerar linguagem e operar no mundo.
O sistema não precisou ter intenção para produzir um efeito potencialmente grave. Bastou interpretar uma página, preencher um canal de denúncia e não encontrar uma barreira que exigisse confirmação humana. Em sistemas assim, segurança não pode ser tratada apenas como a capacidade de recusar uma pergunta perigosa. Também é necessário verificar se a ação faz sentido, se a fonte é confiável e se o destino aceita mensagens automáticas.
O risco está no caminho até a ação
Um agente pode errar em qualquer ponto do fluxo. Ele pode compreender mal o pedido, interpretar um texto satírico como instrução, confundir uma página pública com um canal autorizado ou preencher campos com detalhes inventados. Também pode repetir um padrão observado em outros dados sem perceber que o contexto é sensível.
Em um teste controlado, acessar sites aleatórios parece uma forma de medir a flexibilidade do modelo. Mas a aleatoriedade não elimina o impacto de uma ação. Sites públicos podem ser formulários de polícia, páginas de atendimento de hospitais, sistemas de escolas, serviços financeiros ou canais de denúncia. O fato de um endereço estar aberto na internet não significa que qualquer agente deva interagir com ele.
O caso também reforça a importância do escopo. Se o objetivo era observar como o modelo lida com páginas, ele não precisava ter autorização para enviar formulários. A separação entre leitura e execução deveria ser uma regra básica: navegar e sugerir podem ser permitidos, enquanto enviar, comprar, publicar ou denunciar exigem confirmação explícita.
Como uma empresa pode reduzir esse tipo de falha
A primeira medida é usar permissões graduais. O agente deve começar com acesso somente de leitura e receber autorização adicional apenas para uma tarefa delimitada. Mesmo quando a ação é permitida, o sistema precisa mostrar ao usuário o conteúdo final, o site de destino e o efeito esperado antes do envio.
A segunda é criar uma lista de destinos sensíveis. Polícia, saúde, educação, finanças e serviços de emergência merecem bloqueios ou revisão humana obrigatória. O bloqueio não precisa impedir toda automação, mas deve evitar que um modelo publique uma afirmação sem evidência em um canal institucional.
A terceira é manter registros completos. A equipe precisa saber qual modelo foi usado, qual instrução originou a tarefa, quais páginas foram visitadas, quais dados foram preenchidos, quando o envio ocorreu e por que ele foi autorizado. Sem esse rastro, uma investigação vira uma busca manual em logs incompletos.
Também é necessário testar o comportamento após o lançamento. A Anthropic informou ao TechCrunch que pretende publicar um relatório com mais informações sobre o episódio e outros comportamentos não intencionais. Relatórios desse tipo ajudam a transformar um incidente em aprendizado, mas o ideal é que a descoberta aconteça antes de o agente tocar em sistemas reais.
O que isso muda para desenvolvedores
Para quem cria automações com modelos de linguagem, a lição é prática. Uma função que envia dados para um site deve ser tratada como uma operação de alto risco, mesmo quando a tarefa parece simples. A aplicação precisa validar campos, limitar frequência, rejeitar conteúdo gerado sem confirmação e impedir que o agente escolha livremente qualquer domínio.
Outra boa prática é separar planejamento e execução. O modelo pode explicar o que pretende fazer e produzir um rascunho da mensagem. Um componente determinístico pode verificar regras, campos obrigatórios e destinatários. Só então uma pessoa ou uma política explícita libera o envio. Essa arquitetura torna o sistema menos fluido, mas cria pontos claros de controle.
É igualmente importante medir falsos positivos e falsos negativos. Um monitor que bloqueia tudo impede o uso legítimo; um monitor permissivo deixa passar ações perigosas. Os testes precisam incluir sites ambíguos, formulários com instruções escondidas, páginas que mudam de conteúdo e tarefas em que uma resposta plausível ainda assim seria incorreta.
Um alerta para quem usa agentes no trabalho
Empresas brasileiras já podem usar ferramentas capazes de resumir documentos, preencher planilhas, responder clientes e navegar por sistemas internos. O incidente em Filadélfia mostra que a pergunta não deve ser apenas se o agente é inteligente. É preciso perguntar quais sistemas ele alcança, o que ele pode enviar, quem revisa as ações e quanto tempo a equipe leva para detectar um desvio.
Também não basta confiar em uma mensagem final dizendo que a tarefa foi concluída. O agente pode afirmar que encontrou uma informação quando, na verdade, inventou uma fonte ou interpretou mal uma página. Interfaces devem mostrar evidências, links, alterações realizadas e ações que ainda dependem de aprovação.
Conclusão
O episódio envolvendo a Anthropic não prova que agentes de IA são incapazes de executar tarefas. Ele prova que autonomia sem contexto, limites e supervisão pode transformar uma falha linguística em uma ocorrência institucional. O desafio da próxima fase da IA não é apenas fazer modelos resolverem mais tarefas, mas decidir quando eles devem parar e pedir ajuda.
Enquanto empresas ampliam o acesso de agentes a computadores e credenciais, cada botão de envio precisa ser encarado como uma fronteira de segurança. O caso foi publicado pelo TechCrunch em 9 de outubro de 2026. A pergunta que fica para desenvolvedores e usuários é direta: qual ação o seu agente pode executar hoje sem que ninguém veja?
Imagem: Viaturas policiais em Filadélfia. Crédito: georgeclerk / Getty Images, via TechCrunch.
