Agentes como unidade implantável — e o stack que correu atrás

Do lançamento ao desligamento global. O modelo mais capaz do mundo para código — apagado por ordem executiva americana, sem data de retorno.

O primeiro é o Omnigent da Databricks, open-source sob licença Apache 2.0. A Databricks foi direta sobre a motivação: sua própria organização de mais de cinco mil engenheiros havia adotado agentes de código cedo — Claude Code, OpenAI Codex, agentes customizados sobre SDKs próprios — e o problema que emergiu não era de capacidade do modelo. Era operacional. Com quatro ou cinco agentes rodando em paralelo, engenheiros gastavam tempo copiando contexto manualmente entre terminais, Google Docs e Slack. Não existia um harness único capaz de compartilhar estado ou delegar entre fronteiras de ferramentas.

O que importa para quem está colocando isso em produção são as políticas de sessão. O Omnigent aplica custo e segurança no limite da sessão — não no nível do modelo. O sistema pode pausar um agente e solicitar confirmação humana depois de cada cem dólares gastos em LLM. E as políticas de segurança são dinâmicas por sessão: o sistema pode exigir aprovação humana para um git push somente depois que o agente tiver baixado um pacote npm naquela sessão específica. Um sandbox de OS hardened intercepta requisições de rede em um proxy de egress — credenciais como tokens do GitHub nunca ficam expostas ao processo do agente, só são injetadas em chamadas de saída aprovadas.

Mas a Databricks não publicou benchmarks de latência do overhead gerado pelo meta-harness. A pergunta aberta para arquitetos de plataforma: se o policy engine ou o state tracker degrada, todos os agentes compostos param. Você agora tem dois layers de abstração para debugar ao invés de um. Adicionar coordenação acima de harnesses já opinativos cria um novo single point of failure — e quando algo quebra, a falha atravessa duas camadas antes de você conseguir atribuí-la.

O mecanismo de isolamento são git worktrees. Cada sessão de agente roda em seu próprio branch completamente checado, em um caminho de filesystem separado. Um agente triageia um bug de produção, outro implementa um backlog issue, um terceiro responde a review comments — no mesmo repositório, ao mesmo tempo. O app cria e destrói esses worktrees automaticamente. Quando uma sessão está pronta para integrar, o Agent Merge cuida de CI, feedback de review e merge assim que todas as condições configuradas são satisfeitas. Em branches com proteção de política, exige aprovação humana — não pode contornar regras de branch protection.

O CPO Mario Rodriguez descreveu a distinção entre os dois modos de trabalho assim: "Chat é onde você instrui, discute e raciocina sobre ambiguidade. Canvases são onde essa intenção se torna trabalho visível que você pode inspecionar, direcionar e verificar." É uma distinção operacional real — e a arquitetura que aposta nos primitivos do GitHub, issues, PRs, Actions, code review, como scaffolding para workflows agentivos tem uma vantagem de integração genuína para equipes que já operam inteiramente dentro da plataforma.

Em 1º de junho, o GitHub migrou para cobrança por token. Um AI Credit custa um centavo de dólar. Uma sessão agentic consome tipicamente entre trinta e quarenta dólares. Equipes rodando múltiplas sessões paralelas relataram aumentos de dez a cinquenta vezes em relação ao modelo anterior de preço fixo. Assinantes Pro têm dez dólares por mês em créditos. Três sessões paralelas de trinta e cinco dólares cada consomem o orçamento mensal inteiro antes do meio-dia. O Copilot Max, a cem dólares por mês, inclui cem dólares em AI Credits mais uma franquia flex — mas dez sessões paralelas a trinta e cinco dólares cada já ultrapassa esse envelope.

Um post-mortem publicado no arXiv documenta oito semanas de um runtime de agente pessoal em produção contínua desde março de 2026. Quarenta jobs agendados, oito providers de LLM, um proxy de governança de ferramentas, e um memory plane de base de conhecimento — defendidos por 4.286 testes unitários e 827 governance checks. Resultado: 22 incidentes com post-mortems completos de causa raiz. Um meta-padrão manifestando-se pelo menos 28 vezes.

A classe de falha mais endêmica e de maior risco operacional é a que os autores chamam de "chained hallucination and fabrication". Quando o runtime encontra um erro, o modelo não lança exceção. Ele reescreve o erro em uma conclusão coerente e plausível entregue diretamente ao usuário. Os autores chamam isso de "fail-plausible": não é só que o observador está cego ao erro. O observador está sendo ativamente enganado pelo próprio sinal de falha. O sistema fabrica seu álibi.

Não. Aproximadamente 70 por cento das falhas silenciosas foram detectadas por observação humana do output final — não por testes automatizados ou auditorias. Uma revisão retrospectiva de 15 incidentes mostrou zero por cento de prevenção ex-ante e 87 por cento de bloqueio de regressão. Auditoria não prevê falha. Auditoria bloqueia falha que já aconteceu antes — e só funciona se ela recorrer da mesma forma.

De 13 horas a 60 dias. As falhas de maior duração viviam nas costuras entre componentes — o proxy de ferramentas, o memory plane e os LLM providers — onde nenhum teste roda. Complexidade de código não era preditor. Área de superfície de fronteira era. O paper propõe um Physical Integrity Gate engine e um protocolo de Agent Delivery Engineering como contramedidas determinísticas. Mas a conclusão central é que sistemas multi-provider têm que ser tratados como sistemas distribuídos onde o modo de falha mais perigoso é indistinguível do output correto — e log aggregation e governance checks são necessários, mas não suficientes.

Hui Zhang e Shuren Song publicaram em 17 de junho um relato de 391 sessões consecutivas de colaboração com IA no projeto Bang-v3, ao longo de aproximadamente um mês. O modo de falha que identificaram se chama "Index Sickness". O mecanismo é contraintuitivo: conforme equipes adicionam estrutura formal a prompts — sistemas de ID simbólico, regras numeradas, camadas de constraints — elas esperam guardrails mais claros. O registro do Bang-v3 mostra o oposto.

E isso se alinha diretamente com o que a Chroma documentou em 2025 testando 18 modelos frontier — todos degradam conforme o comprimento do input aumenta. Agentes de código são os mais afetados: cada arquivo lido, resultado de grep e output de ferramenta acumula no context window pelo resto da sessão, enquanto estrutura lógica cria distrações densas. Em questão-e-resposta com múltiplos documentos, a acurácia caiu mais de 30 por cento quando o documento relevante estava em posições intermediárias em vez de no início ou no fim. O benchmark RULER da NVIDIA coloca o contexto efetivo em 50 a 65 por cento da capacidade anunciada para a maioria dos modelos. E — este é o resultado mais contraintuitivo — a Chroma descobriu que modelos performam melhor em contextos embaralhados e incoerentes do que em contextos logicamente estruturados. Densidade estrutural é uma liability, não um ativo.

"Baseline-Log Physical Separation." Mantenha a arquitetura estável do projeto — domínio, decisões de design, estado canônico — em um documento separado do log corrente da sessão. O LLM recebe um snapshot limpo de verdade no início de cada sessão, não um heap crescente de estado misturado com ruído conversacional. Volume de AI Instructions caiu aproximadamente 75 por cento. Index Sickness não recorreu nas 150 sessões seguintes.

É arquiteturalmente idêntico à lógica do CLAUDE.md no Claude Code — documentação estável carregada upfront, arquivos individuais buscados just-in-time via grep e glob, bypass de indexação obsoleta. Zhang e Song chegaram ao mesmo lugar de forma independente. A dificuldade não é técnica. É organizacional: equipes de engenharia são recompensadas por adicionar constraints quando algo quebra. Remover scaffolding simbólico e confiar em linguagem natural parece reduzir rigor. O registro do Bang-v3 diz que esse instinto é a causa do problema, não a solução.

OpenAnt, da Knostic. Um pipeline open-source de seis estágios sob Apache 2.0 que escaneia bases de código em escala de repositório e valida cada achado com um exploit real executado em container sandboxed antes de surfacear qualquer resultado. No OpenSSL: 15.232 funções parseadas em 1.769 arquivos. Após filtragem por alcançabilidade desde pontos de entrada controlados por atacante — handlers de CLI, callbacks, funções main — a superfície de análise caiu 97 por cento. De 15.232 unidades para 390.

No Estágio 3, um agente Sonnet 4 classifica cada unidade alcançável por nível de exposição — externamente exposta, internamente exposta, controle de segurança, ou neutra. A iteração continua até a classificação ser confiante ou atingir um cap de 20 iterações. Custo: de $0,13 por iteração para funções simples até $10,92 no cap para cadeias de chamada complexas. Mediana no OpenSSL: 9 iterações por unidade. Após o Estágio 3, as 390 unidades alcançáveis colapsam para 49 externamente expostas. Redução total de 99,6 por cento do count original. O Estágio 4 usa Claude Opus 4.6 para análise de padrões de vulnerabilidade. Dos 49, 28 foram marcados como potencialmente vulneráveis.

O modelo assume uma persona de atacante com restrições explícitas: sem acesso a servidor, sem credenciais de banco de dados, sem acesso a arquivos locais, sem comandos CLI. Se o único caminho de ataque viável exige acesso shell local, o achado é classificado NOT EXPLOITABLE e descartado. Prompts do tipo "aja como um atacante" sem restrições são a causa raiz de taxas altas de falsos positivos em scanners baseados em LLM — modelos são agreeable por padrão e constroem ataques plausíveis que assumem capacidades que simplesmente não existem em produção. O Estágio 6 converte os candidatos sobreviventes em ambientes de exploit reais, executa em containers sandboxed de curta duração e destrói o ambiente depois. A Knostic está atualmente no processo de disclosure para achados no OpenSSL, WordPress e Flowise. A implicação mais ampla: o mesmo modelo que seu agente usa para escrever código consegue encontrar vulnerabilidades exploráveis no código que outros agentes escreveram. A superfície de ataque e a superfície de detecção agora habitam o mesmo stack.

Em 12 de junho de 2026, às 17h21 horário do leste americano, o secretário de Comércio Howard Lutnick invocou o Export Controls Reform Act para suspender o acesso ao Fable 5 e Mythos 5 da Anthropic para todos os cidadãos estrangeiros — incluindo funcionários da própria Anthropic sem cidadania americana. A Anthropic não tem como verificar nacionalidade por requisição de API. Fez a única coisa que garantia compliance: desativou os dois modelos globalmente. Três dias após o lançamento, toda chamada à API retornava erro.

A Anthropic diz que a mesma técnica está disponível em outros modelos em produção, incluindo o GPT-5.5. Nenhum jailbreak universal foi encontrado no red-teaming pré-lançamento conduzido pelo governo americano, pelo UK AISI e por terceiros. A carta de Lutnick não fornece justificativa específica de segurança nacional. A Anthropic discorda da decisão, está cumprindo, e enviou engenheiros seniores a Washington para negociações com o Departamento de Comércio. Em 17 de junho, não havia data de restauração.

Mas Opus 4.7 não é substituto equivalente em tarefas de código complexo e raciocínio multi-etapa. Equipes que hardcodearam o endpoint do Fable 5 passaram o final de semana em incident bridges. Equipes com gateway multi-provider fizeram uma mudança de roteamento — zero deploy de emergência. A lição arquitetural é direta: o ECRA, escrito para controles de exportação de hardware, agora se aplica a uma API comercial de IA sem aviso prévio e sem isenção por usuário. Arquitetura que assume disponibilidade garantida de modelo é demonstravelmente frágil. O precedente foi estabelecido — qualquer modelo frontier pode ser alvo de uma ordem similar. Mantenha fallbacks quentes com benchmarks atualizados. Não assine contratos que assumam disponibilidade contínua de um modelo frontier específico.

McMinnville e Coffee County aprovaram moratoriums unânimes em 9 de junho. O Metropolitan Council de Nashville seguiu na mesma noite, avançando uma pausa de 90 dias em todas as licenças de data center em Davidson County por 26 votos a 1. Warren County e Knox County estavam agendados para votar em 22 de junho. Desde o outono passado, nove cidades e condados do Tennessee aprovaram moratoriums. Cinco em uma única semana.

O decreto executivo assinado pelo prefeito Freddie O'Connell tem um threshold com implicações práticas diretas para quem projeta clusters de inferência: qualquer instalação acima de 20.000 pés quadrados ou consumindo mais de 5 MW se qualifica como grande data center sujeito a revisão. Uma fileira de 64 racks com GPUs H100 classe já passa de 5 MW antes de contabilizar o overhead de resfriamento.

O administrador municipal de McMinnville, Nolan Ming, foi preciso: "Um moratorium não é uma proibição permanente. É um tempo-fora responsável." Mas um tempo-fora de 18 meses em McMinnville e 90 dias em Nashville não se alinham com os timelines de procurement de data centers — 12 a 24 meses de seleção de site até energização. Uma pausa de permissão no meio do processo pode encalhar contratos de interconexão e acordos de utilidade já assinados. Tennessee rural não é mais uma alternativa de baixo atrito para Ashburn ou Phoenix. Site selection agora precisa incluir risco de oposição comunitária antes do RFP.

Primeiro: interconexão óptica. A Coherent deu início às obras de expansão de sua fábrica em Sherman, Texas. O site abriga a primeira fábrica de fosfeto de índio — InP — em wafers de seis polegadas do mundo. A expansão recebe cinquenta milhões de dólares do CHIPS Act, mais dezessete milhões do Texas CHIPS program e da Sherman Economic Development Corporation. Jensen Huang e o CEO da Coherent, Jim Anderson, estiveram presentes na cerimônia.

O Vera Rubin Ultra NVL576 da NVIDIA conecta oito racks NVLink com 72 GPUs Rubin Ultra cada — 576 GPUs operando como um único domínio. Nessa escala, com centenas de pés separando componentes através do piso de um data center, cobre falha em eficiência energética. Retimers e hardware de condicionamento de sinal para empurrar sinais elétricos de alta velocidade pelos oito racks consomem potência que o cluster preferiria gastar em compute. Óptica paga uma penalidade de conversão uma única vez — elétrico para fóton — e depois a distância se torna essencialmente gratuita. Nessa escala, o trade-off não é opcional.

Huang quantificou o ritmo na cerimônia de abertura de obras:

Em março, NVIDIA e Coherent formalizaram uma parceria estratégica de vários anos. A NVIDIA comprometeu dois bilhões de dólares para P&D, capacidade futura e manufatura doméstica, mais um compromisso de compra de múltiplos bilhões em produtos de laser e interconexão óptica. A expansão de Sherman executa esse acordo. A dificuldade de escalar não é área de piso — são os semicondutores compostos em si. InP e arseneto de gálio usam fotoresistes diferentes, químicas de deposição diferentes e trabalham com wafers que quebram mais facilmente que silício. Tooling, gestão de yield e cadeias de supply de químicos upstream são mais finas que os equivalentes em silício. O grant federal de cinquenta milhões e os dezessete milhões em suporte estadual e local refletem exatamente essa lacuna: sem capital subsidiado, a economia da expansão doméstica de semicondutores compostos permanece marginal nos volumes atuais.

O nó 14A da Intel tem seu primeiro cliente externo comprometido: a Tesla, para o complexo Terafab AI em Austin, com produção de teste prevista para 2029. Tudo mais no calendário da foundry da Intel — Ohio, Arizona, Oregon — depende de esse único cliente levar a um segundo e terceiro antes de dois prazos que convergem nos próximos dezoito meses.

Primeiro: o CEO Lip-Bu Tan disse a investidores em janeiro de 2026 que compradores prospectivos do 14A tomarão decisões firmes de fornecedor a partir do segundo semestre de 2026 e se estendendo até o primeiro semestre de 2027. Segundo: o crédito fiscal de manufatura avançada de 35 por cento — assinado em lei em julho de 2025 — cobre apenas construção de fab que comece antes de 31 de dezembro de 2026. Projetos que escorregarem para 2027 perdem o crédito inteiramente. Os dois relógios expiram com meses de diferença, e ambos apontam para os sites de construção em Ohio.

Os yields do 18A não chegarão a níveis industriais padrão antes do início de 2027. Tan confirmou em maio de 2026 que yields estão melhorando a 7 a 8 por cento por mês. A Intel está ativamente limitando o output de CPUs. A segunda fábrica do Arizona, Fab 62, não tem nó atribuído e está em construção com data de conclusão em 2028 — funcionando como válvula de overflow para 14A se Ohio atrasar, ou capacidade adicional de 18A se bookings externos chegarem primeiro. A Brookfield Infrastructure detém 49 por cento do joint venture de Chandler, e a Intel não moveu para recomprar esse stake, então cada wafer das duas fábricas do Arizona carrega obrigações de revenue-share.

Para arquitetos avaliando opções não-TSMC: a janela de decisão está aberta agora e fecha no início de 2027. Produção de risco em 2028, volume significativo em 2029 — mesmo timeline projetado para o A14 da TSMC. Sinais de demanda estão materializando: cargas de inferência e IA agentiva estão redefinindo as razões CPU-GPU. Tan disse que clientes reportam mudanças da norma da era de treinamento — um CPU para oito GPUs — para 1 para 1 e, em alguns casos, quatro CPUs por GPU para inferência. Equipes querendo capacidade em Ohio em 2030-2031 precisam que seus parceiros de chip estejam engajados com a Intel hoje.

Allen AI e Hugging Face lançaram o olmo-eval em 12 de junho — um harness open-source de avaliação que separa definição de benchmark de política de execução. O projeto herda do OLMES, o padrão de reprodutibilidade de 2024 que padronizou formatação de prompt e formulação de tarefas para as famílias OLMo e Tülu 3. O OLMES resolveu inconsistência entre papers. O olmo-eval resolve velocidade de loop de desenvolvimento.

Erro padrão e efeito mínimo detectável para cada resultado de benchmark, mais comparação por instância de questões idênticas entre checkpoints. A questão central: uma variação de 2,4 pontos percentuais entre iterações de treinamento é sinal real ou variância de amostra? Backends de inferência são intercambiáveis — GPU local, API comercial via LiteLLM, ou mock provider para dry runs sem custo. A arquitetura de seis abstrações — Task, Suite, Harness, Formatter, Scorer, Metric — permite que a mesma spec de task rode em baseline, tool-augmented ou contra API remota sem modificação. Avaliações agentivas e multi-turn rodam em containers Docker, Podman ou Modal quando necessário; o caminho leve é o padrão, e o olmo-eval só opta pelo setup pesado quando um benchmark de fato exige, ao contrário de ferramentas que usam containers para tudo.

Sem thresholds pré-registrados, qualquer tooling estatístico pode se tornar racionalização post-hoc com verniz científico. O olmo-eval entrega a infraestrutura para fazer a pergunta corretamente. A disciplina de uso ainda é responsabilidade da equipe que opera a avaliação.