Microsoft, Azure e a própria Windows hardening colocaram agentes em produção nesta semana — e ServiceNow e DeepMind, no mesmo intervalo, publicaram a prova de que a contenção ainda não chegou junto.
Quinze mitigações.
É o checklist que a DeepMind publicou para rodar agentes em produção. A Microsoft, o Azure e o Windows embarcaram três runtimes de agente antes do checklist sair.
Esta é a ai|expert Wire, episódio dezoito. A semana em que os agentes embarcaram antes do cinto de segurança.
Vamos começar pelo que a Microsoft entregou no Build 2026. Três peças de infraestrutura de agente, todas em paralelo: o Scout, o Azure Functions como runtime de agente, e o MXC — Microsoft Execution Containers — como camada de segurança no próprio OS. Cada uma delas resolve uma parte diferente do problema de como rodar agentes em escala corporativa. [ref: microsoft-scout-enterprise-autopilot-on-openclaw-at-build-2026]
O Scout é o mais visível. É um Autopilot — a categoria que a Microsoft batizou assim. Sempre ativo, com identidade própria no Entra, sem precisar de prompt a cada ação. Ele lê e escreve arquivos locais, executa shell scripts, aplica patches de código, lança sub-agentes paralelos e automatiza sessões de browser. Tudo isso como um objeto rastreável no diretório corporativo — não como uma conta de serviço compartilhada. [ref: microsoft-scout-enterprise-autopilot-on-openclaw-at-build-2026]
O que chama atenção é a base. O Scout roda sobre o OpenClaw, o framework open-source que chegou a cento e oitenta mil estrelas no GitHub em três meses de vida. A Microsoft não reconstruiu o loop de agente — pegou o runtime, jogou fora o trabalho de reconstrução, e empilhou a camada de controle corporativo em cima: identidade, governança, grounding, distribuição.
E o Azure Functions faz a mesma jogada no lado serverless. Um arquivo .agent.md — markdown com YAML no frontmatter — define o prompt, os triggers, as conexões MCP, as ferramentas. O Durable Task Scheduler, que hoje roda centenas de milhões de execuções semanais sob o Copilot, vira a espinha dorsal de orquestração. Acesso a mil e quatrocentos conectores: Microsoft 365, Salesforce, ServiceNow, SAP. A equipe do Azure foi direta: cold start? "A infraestrutura não é o gargalo — o LLM é." [ref: azure-functions-unlocks-serverless-agent-scaling-at-build-2026]
O MXC fecha o triângulo. É uma camada de execução orientada a políticas embutida no Windows e no WSL. Quatro tiers de isolamento: processo, sessão, micro-VM com Hyper-V, contêiner Linux. Os parceiros de lançamento incluem OpenAI, NVIDIA, Manus, Nous Research e o próprio OpenClaw. O GitHub Copilot CLI já usa isolamento de processo MXC para restringir código gerado dinamicamente. [ref: windows-platform-security-and-the-race-to-secure-ai-agents-at-the-os]
Mas aqui está a ressalva que a documentação da própria Microsoft admite: os perfis MXC ainda não devem ser tratados como fronteiras de segurança. Filtragem de rede de saída não funciona no preview atual. Políticas padrão continuam permissivas demais. E esse é exatamente o vetor que mais importa — agentes comprometidos se manifestam como exfiltração de dados para endpoints externos. [ref: windows-platform-security-and-the-race-to-secure-ai-agents-at-the-os]
Então: três runtimes de agente com capacidades reais de execução privilegiada — e os mecanismos de contenção têm lacunas documentadas pelos próprios autores.
E a mesma semana entregou duas publicações que mapeiam exatamente essas lacunas.
A DeepMind publicou o AI Control Roadmap no dia dezoito de junho. Co-autoria de Rohin Shah e do VP de Segurança John Flynn. O documento trata desalinhamento como uma restrição de engenharia — não um problema resolvido — e entrega quinze mitigações concretas no nível de sistema para equipes que não podem esperar pela pesquisa de alinhamento. [ref: threat-models-for-deployed-ai-agents-deepminds-security-framework]
O modelo de ameaça estende o MITRE ATT&CK para uma taxonomia própria chamada TRAIT&R. Três categorias de dano: perda de controle, sabotagem, e dano direto. Agentes internos são tratados como insiders — análogos a um funcionário desonesto com acesso ao escritório — não como software confiável. Essa inversão de framing é deliberada: foca no que o sistema consegue fazer, não no que ele foi instruído a fazer. [ref: threat-models-for-deployed-ai-agents-deepminds-security-framework]
A contenção escala em dois eixos. Tiers de detecção, D1 a D4, calibrados pela capacidade de evasão do agente. D1 monitora o chain-of-thought visível. D4 cobre modelos que raciocinam sem surfacear texto — requer inspeção dos internals do modelo. Tiers de prevenção e resposta, R1 a R3, calibrados pela capacidade de execução do ataque. Ações de baixo risco e reversíveis: revisão assíncrona. Ações de alto risco — mudanças de infraestrutura, exfiltração de dados — bloqueio síncrono antes da execução.
A DeepMind tem dados de produção pra embasar isso. Um protótipo de monitoramento assíncrono interno analisou um milhão de trajetórias de tarefas de agentes de código e classificou cada evento sinalizado contra o TRAIT&R. Esse corpus alimentou o monitor ao vivo no agente Gemini Spark — que detecta em tempo real deleção não intencional de dados. E o achado mais relevante para quem calibra esses sistemas: a maioria dos eventos sinalizados não é adversarial. Vêm de interpretação incorreta do agente ou excesso de entusiasmo — o agente fazendo exatamente o que foi pedido, num contexto onde isso causa dano.
A terceira publicação da semana veio da ServiceNow, e ela nomeia uma superfície de ataque que a maioria das arquiteturas de agente cria sem perceber.
O paper se chama MosaicLeaks. Publicado no dia dezoito de junho no Hugging Face. A descoberta estrutural: as queries de busca externa que um agente dispara enquanto responde a uma pergunta podem, em agregado, reconstruir fatos confidenciais da empresa — mesmo que o adversário nunca veja os documentos privados. O adversário precisa apenas do log de queries de saída. [ref: mosaicleaks-why-research-agents-become-confidential-data-extractors]
Trinta e quatro por cento.
É o vazamento de resposta e informação completa sem mitigação. Com o método PA-DR — reinforcement learning que recompensa respostas corretas e penaliza padrões de query com vazamento — caiu para nove vírgula nove por cento. E o desempenho nas cadeias de pesquisa subiu de quarenta e oito vírgula sete para cinquenta e oito vírgula sete por cento. Menos vazamento, melhor performance. [ref: mosaicleaks-why-research-agents-become-confidential-data-extractors]
O padrão RAG mais busca externa — vector store corporativo conectado a chamadas de API ou web — é exatamente a arquitetura que esse ataque mira. O canal de vazamento não é o destino da query.
É o conteúdo dela.
A tese desta semana para quem decide sobre agentes em produção: o checklist da DeepMind chegou depois dos runtimes. Exija ele antes da aprovação. E trate o log de queries de saída como um canal potencial de exfiltração — da mesma forma que você trataria chamadas de API com payloads embutidos.
Segundo bloco. Enquanto os agentes expandem o que precisam executar, o silício e a infraestrutura estão redesenhando onde essa execução acontece — e a que custo.
Três movimentos nesta semana que, juntos, reprecificam o stack de inferência.
A NVIDIA formalizou o design DSX para fábricas de IA — resfriamento líquido direto ao chip, cem por cento, em toda a geração Rubin. Nenhum fan. Um mix de setenta e cinco por cento água e vinte e cinco por cento propileno glicol flui por cold plates em cada processador. O refrigerante entra a quarenta e cinco graus Celsius e sai a cinquenta e cinco. [ref: nvidias-45c-breakthrough-cuts-thermal-ceiling-on-dense-h100-clusters]
O número que reescreve o capex: data centers convencionais com torres de resfriamento consomem dois vírgula seis milhões de galões de água por megawatt por ano. O design a quarenta e cinco graus reduz isso a praticamente zero — com dry coolers ao ar livre, sem perda evaporativa. Ali Heydari, diretor de resfriamento de data center da NVIDIA, foi direto:
"O design de referência DSX tem consumo zero de água. Eliminamos quantidades massivas de uso de energia e praticamente todo o uso de água."
O resfriamento historicamente consome até quarenta por cento da eletricidade total de um data center. Cada grau Celsius de aumento no setpoint do chiller corta custos de energia de resfriamento em cerca de quatro por cento. A ressalva: operação sem chiller depende do clima. Em regiões com temperaturas persistentemente altas, o modelo de um por cento de uso de chiller ao ano não se sustenta. Modele o perfil de wet-bulb local antes de dimensionar o rack. [ref: nvidias-45c-breakthrough-cuts-thermal-ceiling-on-dense-h100-clusters]
A Apple moveu a fronteira na direção oposta. Na WWDC 2026, lançou o Core AI — substituto oficial do Core ML. O framework roda modelos de três bilhões a setenta bilhões de parâmetros inteiramente on-device, sem dependências de servidor e sem custo por token. É o mesmo runtime que a Apple usa internamente para o Apple Intelligence, agora aberto a desenvolvedores. [ref: apple-core-ai-framework-pushes-on-device-inference-at-scale-on-apple-silicon]
A compressão é mandatória — o framework aplica quantização e paletização por camada. A Apple demonstrou o SAM3, um modelo de oitocentos e cinquenta milhões de parâmetros: quantização int4 por canal simétrico reduziu de três gigabytes para quatrocentos e trinta megabytes — redução de oitenta e seis por cento. O modelo interno deles, AFM Core Advanced, é um sparse MoE de vinte bilhões de parâmetros que ativa apenas um a quatro bilhões por inferência. Custo marginal de inferência zero, para qualquer app no Apple Silicon. [ref: apple-core-ai-framework-pushes-on-device-inference-at-scale-on-apple-silicon]
A fronteira cloud versus edge está sendo redesenhada pela física e pelo preço. NVIDIA maximiza densidade por rack eliminando o custo térmico. Apple elimina o custo por token movendo a execução para o device. Arquitetos que definem onde a inferência roda precisam modelar as duas variáveis ao mesmo tempo.
E o terceiro movimento desta semana adiciona uma variável que não estava no modelo de ninguém: jurisdição.
A Wired identificou a SK Telecom como a operadora sul-coreana cujo acesso ao Claude Mythos, da Anthropic, foi revogado a pedido da Casa Branca em início de junho — dias antes de a diretiva do Departamento de Comércio, de doze de junho, desligar o Mythos 5 e o Fable 5 para todos os estrangeiros. A SK Telecom havia investido cem milhões de dólares na Anthropic em 2023. Era parte do Project Glasswing, o consórcio fechado de acesso ao Mythos, com cerca de cento e cinquenta organizações. [ref: sk-telecoms-access-to-anthropic-mythos-revoked-before-white-house-ban]
A preocupação de segurança nacional não estava na operação direta da SK Telecom na China — receita de um vírgula nove milhão de dólares em 2024, sete funcionários. Estava nos interesses extensos do conglomerado SK Group em semicondutores e energia chineses. A revogação inteira aconteceu dentro da relação comercial: pedido do governo à empresa privada, revogação de credenciais, confirmação de compliance — sem anúncio público, sem processo regulatório, sem aviso aos usuários finais. [ref: sk-telecoms-access-to-anthropic-mythos-revoked-before-white-house-ban]
A superfície de revogação é um dashboard privado — não uma lista de sanções publicada. Não há aviso com antecedência. Não há SLA de restauração garantido.
A decisão de arquitetura agora tem três dimensões: onde rodar, em que silício — e sob qual jurisdição.
Três runtimes embarcados, um checklist de contenção que chegou depois, e a prova matemática de que queries de saída são um vetor de exfiltração. A semana deixou o trabalho claro. Sexta, na Edition — o silício pós-CMOS da TSMC, ASML e imec a cinquenta nanômetros, e o que isso muda no roadmap de inferência para 2028. Bom trabalho.