Agentes com fronteiras: por que aprovar não é executar

Um agente deixa de ser apenas uma interface de conversa quando recebe ferramentas capazes de consultar sistemas, alterar registros, enviar mensagens ou iniciar processos. A partir desse momento, qualidade de resposta não é suficiente: a arquitetura precisa governar capacidade de ação.

Defina a superfície de autoridade

Cada ferramenta deve responder a três perguntas: quem pode chamá-la, em que contexto e qual efeito ela produz. Acesso amplo por conveniência aumenta o impacto de erros e dificulta atribuição. Menor privilégio significa entregar ao agente somente a capacidade necessária para a tarefa atual, com escopo e duração compatíveis.

Torne os estados explícitos

Intenção, proposta, revisão, aprovação, execução, verificação e falha não são sinônimos. Quando esses estados aparecem apenas em texto livre, o sistema pode interpretar uma concordância como autorização operacional. Um fluxo confiável registra cada transição e impede que etapas obrigatórias sejam saltadas.

Aprovar não é executar

A aprovação confirma que uma ação pode avançar sob condições conhecidas. A execução é outro evento: deve validar identidade, escopo, versão da proposta e estado atual do recurso. Essa separação reduz ações com contexto desatualizado e permite que a pessoa compreenda exatamente o que produzirá efeito externo.

• A pessoa vê destino, conteúdo e consequência antes de confirmar?
• A autorização vale para uma ação ou para uma classe ampla de ações?
• O sistema verifica se o contexto mudou entre aprovação e execução?
• Existe uma forma segura de cancelar, pausar ou recuperar?

Evite duplicidade e ambiguidade

Falhas de rede e retries podem repetir uma operação. Identificadores de idempotência, validação pós-execução e registros de resultado ajudam a distinguir “não houve resposta” de “a ação não aconteceu”. Sem isso, o agente pode executar novamente uma tarefa que já produziu efeito.

Preserve evidência suficiente

Logs úteis registram versão, identidade, ferramenta, parâmetros relevantes, decisão, resultado e falha sem copiar segredos ou dados desnecessários. O propósito não é acumular conteúdo: é permitir reconstruir o que aconteceu e localizar o primeiro ponto de divergência.

Ensine o sistema a parar

Um agente maduro reconhece falta de permissão, evidência insuficiente, conflito de estado e risco acima do limite. Nesses casos, interromper, explicar e pedir revisão é comportamento correto. Autonomia responsável não significa agir sempre; significa saber quando não agir.

Agentes confiáveis combinam utilidade e contenção. O desenho deve tornar impossível confundir recomendação com autorização e autorização com execução confirmada.