Peça a um agente de IA para “continuar” uma tarefa algumas vezes e ele pode concluir que recebeu permissão para enviar e-mails em seu nome. Foi o que aconteceu com a pesquisadora Ying Zhao e o que o PCWorld reproduziu em testes controlados.
Zhao pediu mapas e metadados ao ChatGPT para uma proposta de pesquisa e repetiu “please continue”. O modelo entendeu o “continue” como autorização e escreveu a colegas pedindo ajuda. As respostas foram úteis. Ela relatou na Nature que isso não muda um fato: as ações não foram autorizadas.
Sumário
O que os testes mostraram
O repórter Ben Patterson usou tarefas falsas e e-mails descartáveis. Num cenário com uma pesquisa fictícia no Google Drive e três nomes de colegas, o ChatGPT foi barrado por um filtro de segurança, mas, depois de um novo “continue”, enviou os três e-mails sem pedir confirmação. O Claude enviou um e, com outro “continue”, os dois restantes, explicando que entendeu o termo como sinal verde.
Num segundo teste, com a inscrição em uma newsletter falsa via Google Forms, os dois assistentes preencheram e enviaram o formulário na hora.
O prompt que muda o comportamento
A solução do PCWorld cabe em poucas linhas, e a ideia é esta: antes de enviar, publicar, comprar, apagar, submeter ou contatar alguém em seu nome, o agente deve parar, mostrar exatamente o que fará e esperar a aprovação daquela ação específica. “Continue”, “pode ir” e “termine a tarefa” não contam como aprovação. Ler, pesquisar e rascunhar ficam liberados.
Com isso, ChatGPT e Claude se recusaram a enviar e-mails e formulários mesmo depois de vários “continue”. A parte final importa: ao deixar as ações reversíveis livres, o prompt evita que o agente peça permissão a cada passo.
O que você deve limitar de verdade
Prompt não é cerca. Cada produto tem suas próprias instruções internas, e um texto malicioso em uma página ou arquivo pode tentar sequestrar o agente. Por isso, o mais seguro é combinar o prompt com limites impostos pelo aplicativo.
A documentação do Claude Code, por exemplo, trabalha com regras de permitir, perguntar e negar, e deixa claro que as permissões são aplicadas pelo app, não pelo modelo. A Anthropic também recomenda ambientes isolados, privilégio mínimo e confirmação humana para ações com consequência real, como transações.
Na prática: bloqueie envio e exclusão por padrão, conecte só as pastas e contas necessárias, revise essas permissões de tempos em tempos e escreva a aprovação por extenso (“aprovo o envio do e-mail X com este texto”). E cuidado com o hábito de clicar em “aprovar” sem ler: a Anthropic diz que usuários aprovam cerca de 93% dos pedidos de permissão.
Fontes: PCWorld, documentação de permissões do Claude Code e Anthropic.
