Supervisão humana de agentes de IA falha por excesso, não por comando perigoso

Em maio de 2026, o desenvolvedor belga Alex Wauters lançou um jogo de navegador em que o jogador assume o papel de revisor humano de um agente de IA de programação, aprovando ou negando comandos sob um limite de 60 segundos. Analisando mais de 40 mil rodadas e 409 mil decisões, publicadas em 26 de maio, Wauters encontrou uma taxa de erro de 35% nas violações de escopo, casos em que o agente pedia acesso a credenciais da AWS ou a configurações de Kubernetes sem necessidade aparente para a tarefa. Um comando específico, o inofensivo npm run analyze, foi aprovado em cerca de 65% das vezes mesmo quando o contexto do jogo indicava risco. A Anthropic complementou o quadro com dados próprios do Claude Code: humanos aprovam 93% dos pedidos de permissão que recebem, e o modo automático da própria ferramenta captura 83% dos comportamentos fora de escopo, mais do que os revisores humanos do experimento.

A leitura mais fácil é dizer que agentes de IA ainda são perigosos demais para operar sem vigilância, e que a resposta é treinar melhor quem aprova ou apertar ainda mais a régua de permissões. É a versão atualizada da velha lição de segurança da informação: o elo mais fraco continua sendo a pessoa que clica. Sob essa leitura, o próximo passo natural de qualquer comitê de tecnologia seria comprar um curso de conscientização e exigir mais um clique de confirmação antes de cada comando sensível.

O erro não está em quem aprova

O problema não está em quem aprova, está em quantas vezes ele aprova. A própria Anthropic documentou o mecanismo: quanto mais aprovações um usuário vê, menos atenção dedica a cada uma, e a vigilância cai ao longo do tempo. É fadiga de decisão, o mesmo efeito que faz um radiologista errar mais no centésimo exame do dia do que no décimo. A diferença é que ninguém desenhou o processo de aprovação de agentes de IA pensando nisso — a supervisão humana foi encaixada como resposta de governança sem que alguém perguntasse quantas decisões por turno uma pessoa sustenta com a mesma qualidade da primeira. O próprio Wauters resumiu o teste numa frase que serve de pergunta para qualquer comitê de tecnologia: “vocês são a última linha de defesa; quão bem vocês distinguem um comando perigoso de um comando benigno sob pressão de tempo?”

Dois terços dos jogadores no experimento de Wauters nem chegaram a ler o histórico de contexto disponível antes de aprovar.

O que a empresa comprou não foi controle

Aí mora o descompasso. O obstáculo declarado é técnico: um agente pediu algo que não devia. O obstáculo real é organizacional — a empresa tratou “ter um humano no loop” como camada de gestão, quando na prática montou apenas mais uma etapa de execução, sujeita às mesmas leis de atenção de qualquer trabalho repetitivo. Um filtro automatizado não cansa e, nos números da Anthropic, capturou mais comportamento fora de escopo do que o revisor de carne e osso. A pessoa continua necessária, mas não como carimbo de volume: o lugar dela é onde o julgamento realmente importa, nos casos ambíguos que nenhum filtro resolve sozinho.

O primeiro exercício é aritmético, não moral

Para quem já colocou agentes de codificação para rodar dentro da própria operação, o primeiro exercício é aritmético, não moral: medir quantas aprovações por dia cada revisor está processando e cruzar esse volume com a taxa de erro ao longo do turno. Os dados de Wauters sugerem que o erro sobe com o cansaço, e se sobe, o checkpoint humano parou de proteger a empresa e passou a proteger apenas a ata de reunião em que alguém registrou que “há revisão humana no processo”. A partir daí, a escolha é onde recolocar essa pessoa. Amostragem de alto risco, concentrada em comandos que tocam credenciais, infraestrutura ou dados de cliente, rende mais do que aprovação universal de tudo que o agente propõe, porque direciona a atenção escassa para os casos que realmente pesam. A divisão de trabalho entre filtro automatizado e revisor humano deixa de ser uma questão de confiança na máquina e vira uma questão de onde cada um erra menos: o filtro no volume repetitivo, a pessoa nos casos que exigem contexto que nenhum log documenta. Isso vale tanto para quem já roda agentes em produção quanto para quem ainda está desenhando o piloto: o número de aprovações por turno é uma variável de projeto, não um detalhe operacional que se resolve depois.

Nenhum desses ajustes exige esperar um agente melhor ou um modelo mais seguro. Exige admitir que a caixinha “revisão humana” no desenho de um processo funciona como um espaço em branco, não como controle de risco pronto: a empresa ainda precisa preencher esse espaço com uma decisão sobre volume, escopo e ponto de fadiga, do mesmo jeito que preencheria qualquer outro processo com gente de verdade no meio.

A pergunta que vale levar para a próxima reunião sobre governança de agentes de IA é direta: alguém já mediu a taxa de erro da equipe na centésima aprovação do dia, ou a régua de segurança continua sendo a mesma pessoa, o tempo todo, até ela parar de olhar?