Agentes saíram do laboratório: ganharam orquestrador, cache durável e MCPs padronizados na mesma semana em que um post-mortem catalogou 22 formas deles falharem em silêncio.
Sessenta dias.
É quanto um agente em produção pode passar entregando resultados plausíveis — e completamente falsos — antes que alguém perceba.
Este é o Wire da ai|expert. Esta semana, agentes ganharam orquestrador, cache durável e MCPs padronizados. E um post-mortem catalogou 22 formas deles falharem sem fazer barulho.
O paper mais importante desta semana não veio de um laboratório de pesquisa. Veio de um post-mortem de produção. [ref: longitudinal-study-uncovers-22]
Um agente pessoal em execução contínua desde março de 2026: 40 jobs agendados, 8 provedores de LLM, 4.286 testes unitários, 827 verificações de governança. E ainda assim: 22 falhas silenciosas em oito semanas, com um meta-padrão se repetindo 28 vezes.
Os autores nomearam cinco classes de mecanismo. A que mais preocupa arquitetos de produção é a Classe D — "chained hallucination and fabrication".
Quando o sistema encontra um erro, o modelo não lança exceção. Ele reescreve o erro em narrativa coerente e entrega direto ao usuário. Os autores chamam isso de "fail-plausible": o observador não está apenas cego. Ele está sendo ativamente enganado pelo próprio sinal de falha.
O agente não falha. Ele cria um álibi.
E 70% dessas falhas silenciosas foram detectadas por observação humana do output final — não por testes, não por auditorias automatizadas. A latência de incidente variou de 13 horas a 60 dias. Os mais duradouros viviam nos seams — nas costuras entre o proxy de governança de ferramentas, o plano de memória de knowledge base e os provedores de LLM. Onde nenhum teste roda.
Uma auditoria retrospectiva de 15 incidentes encontrou 0% de prevenção ex-ante e 87% de bloqueio de regressão.
Auditorias são motores de regressão. Não de previsão. A pesquisa modelou isso como decaimento entrópico: analisando mais de 100.000 interações de produção e 40.000 trials controlados, o desordem se acumula monotonicamente com os rounds de interação. Falha silenciosa não é uma classe de bug para corrigir. É uma restrição termodinâmica a ser governada.
Para arquitetos de sistemas multi-agente: complexidade de código não era preditor de incidente. Área de superfície de boundary era.
Um paper de UC San Diego, Johns Hopkins, University of Washington e UIUC chegou com uma resposta formal para uma pergunta que equipes de produto respondem empiricamente toda semana: o que determina a performance de um agente? [ref: agentspec-modular-framework-fo]
AgentSpec divide agentes embodied em seis componentes intercambiáveis com interfaces padronizadas: Percepção, Memória, Raciocínio, Reflexão, Ação e um módulo opcional de RL. Testado em DeliveryBench, ALFRED, MiniGrid e RoboTHOR.
A conclusão central não é sobre a qualidade de cada módulo. É sobre compatibilidade de scaffold e efeitos de interação. O melhor módulo de raciocínio é inútil se a representação de memória que ele recebe viola suas suposições sobre granularidade de estado e horizonte de tarefa.
O achado operacional mais crítico: políticas treinadas com RL só compõem bem quando otimizadas com a estrutura de scaffold do deployment. Se você versionar o scaffold sem atualizar o módulo de RL junto, a performance colapsa. Training e inference não podem ser versionados de forma independente.
Scaffolds não são infraestrutura neutra. Eles moldam o landscape de otimização de tudo que hospedam.
Ainda no tema de detectar quando um agente está errando: um preprint no arXiv propõe consistência operádica — OC — como método sem label para detectar falhas de raciocínio composicional em tempo de inferência. [ref: detecting-llm-reasoning-failur]
O mecanismo: o modelo responde uma query complexa diretamente. Depois, a mesma query é decomposta em sub-problemas, respondida parte a parte e recomposta. Discrepâncias entre os dois caminhos sinalizam raciocínio suspeito. Sem ground-truth. Sem anotador externo. Sem fine-tuning.
Testado em doze LLMs de 4B a 671B parâmetros. Correlações de Pearson entre 0,86 e 0,94 com acurácia em quatro datasets de QA multi-hop — o único sinal com r maior ou igual a 0,85 uniformemente nos quatro. Chain-of-thought self-consistency cai para r de aproximadamente 0,45 em MuSiQue e StrategyQA. OC não.
Selective prediction com budget K=3 entrega lifts de AUARC de +0,086 a +0,096 e de AUROC de +0,092 a +0,164, com intervalos de confiança de 95% excluindo zero em todas as células. O custo: três passes de inferência. E para modelos de raciocínio com chain-of-thought opaco ou chamadas de tool intercaladas, a decomposição falha silenciosamente.
O padrão que vale roubar: a distância entre a resposta direta e a auto-decomposição é um score de confiança zero-label para qualquer prompt composicional.
E enquanto a pesquisa mapeava os padrões de falha, três peças de infraestrutura chegaram na mesma semana — como se o setor soubesse que precisava fechar a lacuna.
Primeiro: Databricks open-sourcou o Omnigent sob Apache 2.0. Um meta-harness para compor e controlar agentes de código — Claude Code, OpenAI Codex, Pi e agentes customizados — através de uma API uniforme. [ref: databricks-launches-omnigent-to-operationalize-multi-agent-workflows]
O problema que motivou o Omnigent é concreto. Na Databricks, com mais de 5.000 engenheiros, o fluxo real era rodar quatro ou cinco agentes em paralelo e copiar e colar contexto entre terminal, Google Docs e Slack. A falta de um harness único que compartilhasse estado ou delegasse entre tool boundaries estava custando horas.
A arquitetura tem dois componentes: um Runner que isola cada agente em sessão sandboxed com interface uniforme — mensagens e arquivos entram, text streams e tool calls saem — e um Server que hospeda políticas e lógica de compartilhamento. Uma linha de YAML para trocar o modelo subjacente. Política de custo configurável: pausa o agente após USD 100 de gasto por sessão.
O risco não endereçado: sem benchmarks de latência publicados, o overhead de rotear todo I/O de agente pelo meta-harness é desconhecido. Se o policy engine ou o state tracker degradar, todos os agentes compostos param — e o debug agora atravessa duas camadas de abstração.
Segundo: AWS habilitou durabilidade no ElastiCache for Valkey 9.0. O append-only file local saiu. Entrou um log transacional Multi-AZ que replica writes entre zonas de disponibilidade. [ref: aws-elasticache-adds-durabilit]
Dois perfis de criação. Síncrono: reads abaixo de 300 microsegundos em 50.000 TPS, crescendo para 879 microsegundos em 100.000 TPS, writes em single-digit milissegundos, com custo adicional. Assíncrono: latência de microsegundos, sem custo extra — mas com janela de até 10 segundos de perda se o primário falhar.
Para stacks de agente que hoje rodam ElastiCache ao lado de DynamoDB para persistir contexto de conversação e estado de workflow, a simplificação é real: um cluster para memória quente e estado de curto prazo. Mas Corey Quinn, do Duckbill Group, avisa que a lição de não confundir cache com datastore primário costuma ser aprendida depois de uma violação de SLA. Estado de transação comprometido não pertence aqui.
Terceiro: HashiCorp anunciou disponibilidade geral do Terraform MCP Server em 11 de junho. Dezesseis ferramentas na configuração padrão, com três toolsets — registry, registry-private e terraform — expondo operações de workspace, inspeção de planos e políticas Sentinel. [ref: hashicorp-mcp-server-enables-a]
Operações destrutivas — create_run, plan_and_apply, exclusão de workspace — desabilitadas por padrão atrás do flag ENABLE_TF_OPERATIONS=false. O padrão correto: separação binária em nível de ambiente entre ferramentas de descoberta somente-leitura e mutações destrutivas. Se o seu platform interno de agentes não tem esse gate, o blast radius está aberto demais.
Sem sandbox de plano. Sem eval harness. A segurança depende de IAM ambiente mais esse toggle de ambiente. Um cliente comprometido com token válido ainda pode exfiltrar metadados de workspace.
A última peça é o browser. O WebMCP entrou em origin trials no Chrome 149 em 19 de maio, co-autorado por Google e Microsoft sob o W3C Web Machine Learning Community Group. A proposta: sites expõem contratos de ferramentas tipadas diretamente para agentes no browser, eliminando o loop não-determinístico que quebra com CSS layout shifts ou carregamento tardio de anúncios. [ref: webmcp-standard-for-agentic-web-actuation-now-in-chrome-origin-trials]
Benchmarks do scriptwalker.app mostram completion de tarefas 8 a 12 vezes mais rápido do que automação por visão. Byteiota reportou 67% menos erros e 45% melhor taxa de conclusão comparado a scraping visual. Booking.com, Shopify, Instacart, Expedia, Intuit e Redfin comprometeram implementações. Adoção já em 12% de enterprise websites e 41% em e-commerce. O Chrome DevTools para Agents 1.0 chegou junto com os trials, expondo logs de console, tráfego de rede e traces de performance via servidor MCP com painel WebMCP dedicado.
Microsoft já havia embarcado suporte no Edge 147 em março de 2026.
O problema estrutural: monocultura. O único agente consumindo WebMCP hoje é Gemini no Chrome. Você ainda precisa manter stack paralela de automação por visão para páginas não anotadas, para Firefox até Q3 e para Safari até Q4 de 2026.
E o risco adversarial permanece sem endereçamento: qualquer página pode registrar definições de ferramentas falsas para manipular agentes em ações não autorizadas. Trate como camada de baixo risco até o modelo de permissão endurecer. Não conecte em flows de pagamento ou identidade.
Agentes ganharam orquestrador, cache durável e MCP padronizado. E ainda assim, a maioria das falhas silenciosas em produção só aparece quando um humano olha para o output. A infraestrutura chegou. A observabilidade nas costuras ainda não. Wire na segunda. Até lá.