GHOST: falha de segurança em agentes de IA atinge 11,5% no GPT-5.5

O que aconteceu

Um estudo publicado no arXiv em 2 de outubro de 2026 descreve um modo de falha em agentes de IA de longo horizonte chamado Governance Hazard from Overlooked Safety Constraints across Turns, ou GHOST. O problema ocorre quando um agente executa uma ação que viola uma restrição de segurança especificada muitas interações antes, mesmo sob condições benignas de uso. Os experimentos registraram uma taxa de ocorrência de 11,5% no modelo GPT-5.5.

O GHOST foi identificado por pesquisadores que analisaram o comportamento de agentes em tarefas complexas de resolução de problemas. A falha não depende de um ataque externo nem de manipulação maliciosa do usuário. Ela surge da própria natureza do histórico estendido de interação, que faz o agente perder de vista restrições definidas em turnos anteriores. Os autores classificam o GHOST como um risco de governança, não apenas um bug técnico.

Para mitigar o problema, a equipe propôs o STAR-Guard, uma defesa de duas camadas. A primeira restaura restrições semânticas de segurança a partir do histórico da conversa. A segunda faz uma auditoria determinística antes da execução, impedindo que violações residuais cheguem ao ambiente. Nos experimentos com o GPT-5.5, o STAR-Guard eliminou as ocorrências de GHOST.

Contexto

Agentes de longo horizonte vêm ganhando espaço em aplicações que exigem múltiplas etapas de raciocínio e execução, como automação de tarefas, análise de dados e assistência a decisões complexas. Esses sistemas mantêm um histórico extenso de interações para manter coerência ao longo do tempo. O estudo aponta que esse mesmo histórico é o que cria a vulnerabilidade.

A pesquisa teórica do artigo mostra que, se o risco condicional residual de violação ao longo de cada prefixo seguro for limitado por uma sequência não somável, a execução entra na região de perigo quase certamente. Essa formulação matemática sustenta a observação empírica: o GHOST não é um caso isolado, mas um padrão previsível em determinadas condições.

O trabalho se soma a uma linha crescente de estudos sobre segurança de agentes autônomos. Diferentemente de falhas pontuais de alinhamento, o GHOST ocorre sem qualquer sinal externo de problema, o que dificulta a detecção por métodos convencionais de monitoramento.

Por que importa

O impacto prático do GHOST é direto para empresas que colocam agentes de IA para executar ações no mundo real. Se um agente esquece uma restrição definida horas antes, pode realizar operações irreversíveis, como apagar dados, enviar informações confidenciais ou acionar sistemas críticos sem autorização. O estudo classifica esse risco como capaz de causar dano irreversível.

A taxa de 11,5% no GPT-5.5 é relevante porque mede a falha sob condições normais de uso, não em cenários adversariais. Isso significa que o problema pode aparecer em operações comerciais rotineiras, sem que o usuário ou o desenvolvedor perceba a origem. A ocorrência não está ligada a um comando específico, mas ao acúmulo de turnos.

Para gestores de produto e engenheiros de segurança, o achado reforça a necessidade de camadas de auditoria independentes do modelo. A proposta STAR-Guard mostra que é possível reduzir o risco combinando restauração de contexto e verificação pré-execução. O artigo não informa custo computacional adicional nem latência introduzida pela defesa.

Impacto

No curto prazo, o estudo tende a influenciar práticas de design de agentes que operam em ambientes sensíveis, como finanças, saúde e infraestrutura. A ideia de que o histórico longo é um vetor de risco pode levar equipes a repensar a forma como armazenam e recuperam restrições de segurança ao longo de uma sessão.

A pesquisa também abre caminho para ferramentas de auditoria determinística acopladas a modelos generativos. O STAR-Guard não depende apenas do próprio modelo para se policiar, o que reduz a chance de falhas silenciosas. Empresas que já usam agentes para automação de fluxos podem precisar revisar seus protocolos de segurança nos próximos meses.

O artigo não detalha quais ambientes ou tarefas específicas foram testados além do GPT-5.5. Também não informa se o STAR-Guard foi avaliado em outros modelos além do GPT-5.5. Esses pontos ficam como lacunas para trabalhos futuros.

O que muda

A principal mudança conceitual é tratar restrições de segurança como algo que precisa ser reafirmado ativamente, não apenas declarado uma vez no início da interação. O GHOST mostra que a memória longa de um agente não garante que ele mantenha todas as regras em mente. A restauração semântica proposta pelo STAR-Guard busca justamente trazer de volta restrições esquecidas antes que uma ação seja executada.

Outra mudança é a separação entre a camada que propõe ações e a camada que audita. O STAR-Guard usa um componente determinístico para barrar violações residuais, o que evita que o julgamento do próprio modelo seja a única barreira. Essa arquitetura pode se tornar referência para sistemas que exigem alto grau de confiabilidade.

O que vem agora

O artigo foi submetido ao arXiv em 2 de outubro de 2026 e está disponível publicamente. Não há informação sobre submissão a conferências ou periódicos com revisão por pares. Os autores não anunciaram planos de disponibilizar o código do STAR-Guard ou de realizar testes com outros modelos além do GPT-5.5.

A comunidade de segurança em IA deve replicar os experimentos e testar a defesa em diferentes arquiteturas de agentes. A taxa de 11,5% no GPT-5.5 serve como linha de base para comparações futuras. O estudo deixa em aberto se o GHOST afeta modelos de outros fornecedores na mesma proporção.