A OpenAI precisa pôr limites em seus agentes

Dez anos depois de a OpenAI oferecer aos pesquisadores um ambiente público de testes, a empresa afirma que Codex e ChatGPT Work atendem 10 milhões de pessoas. O problema de produto se inverteu: antes, a OpenAI facilitava a reprodução do comportamento dos agentes; agora, precisa facilitar sua contenção.

Pesquisadores precisam de um ambiente comum quando não conseguem comparar algoritmos de forma confiável. Já as organizações precisam de uma camada de execução gerenciada quando sistemas capazes podem ler arquivos da empresa, acionar ferramentas, preencher formulários, modificar código e continuar trabalhando depois que a pessoa responsável pela tarefa voltou sua atenção para outra coisa. Nesse cenário, um sistema de permissões precisa decidir se o agente deve executar as ações que um ambiente público apenas demonstrou serem possíveis.

O ambiente aberto resolveu o gargalo de sua época

Em 2016, a OpenAI lançou o Gym como um conjunto de ferramentas para testar algoritmos de aprendizado por reforço. O projeto deixava clara a premissa central: experimentos fragmentados limitavam o avanço, por isso os pesquisadores precisavam de um ambiente compartilhado no qual pudessem testar e reproduzir resultados. Mais tarde naquele ano, o Universe ampliou essa lógica ao oferecer ambientes nos quais agentes podiam aprender a usar aplicativos e interagir com sites.

O Universe já apontava para além do laboratório ao tratar o uso de programas como uma habilidade que um agente poderia aprender. Ainda assim, o agente operava em um ambiente de treinamento criado para aprimorar a pesquisa, e não dentro de uma organização realizando trabalho autônomo.

O Evals manteve a mesma arquitetura em 2023. A OpenAI disponibilizou a estrutura de avaliação como código aberto, permitindo que usuários relatassem deficiências dos modelos e ajudassem a orientar melhorias. O modelo continuava sendo o objeto avaliado, a avaliação permanecia como instrumento compartilhado e a comunidade técnica mais ampla seguia fazendo parte do ciclo de aperfeiçoamento.

• 2016: Gym padroniza ambientes para a comparação de algoritmos de aprendizado por reforço.
• 2016: Universe permite que agentes pratiquem o uso de aplicativos e sites.
• 2023: Evals distribui o trabalho de identificar deficiências dos modelos.
• 2025: ChatGPT Agent começa a executar tarefas em várias etapas por meio de navegadores, APIs e arquivos.
• 2026: Frontier e agentes de ambientes de trabalho reúnem contexto, permissões, integração inicial e execução compartilhada para organizações.

Ambientes compartilhados aprimoraram a experimentação, e modelos melhores atraíram dados corporativos que tornaram valioso o uso de ferramentas. Quando os agentes passaram a atuar sobre esses dados, as organizações precisaram impor limites — a nova restrição criada pelo próprio sucesso da infraestrutura de pesquisa.

O Frontier tornou essa restrição visível quando a OpenAI o lançou para um grupo limitado de clientes, com contexto compartilhado, integração inicial e limites de permissão. O Frontier não é uma versão maior do Gym. O Gym eliminava diferenças entre ambientes experimentais para que pesquisadores pudessem comparar agentes. O Frontier restaura as diferenças organizacionais — identidade, contexto, autoridade e políticas — para que as empresas possam implantar esses agentes.

A passagem de bastão, não a resposta, tornou-se a unidade de valor

Um robô de conversa produz uma resposta para um profissional. Um agente de trabalho executa uma parte delimitada do fluxo e devolve o controle em um ponto compreensível. Agora, os compradores precisam avaliar mais do que a qualidade do texto: devem examinar a sequência, verificando quais sistemas o agente abriu, o que alterou, onde parou e se uma pessoa consegue corrigir o resultado sem reconstruir toda a tarefa.

O ChatGPT Agent cruzou essa fronteira em 2025 ao usar um navegador virtual, preencher formulários na internet, acionar APIs públicas e gerar arquivos de PowerPoint e Excel para baixar. Em 2026, a OpenAI apresentou agentes para ambientes de trabalho que permitem às equipes criar agentes compartilhados, baseados no Codex, para tarefas complexas. O produto deixou de ser apenas uma conversa individual e passou a se tornar um participante compartilhado do trabalho organizacional.

Nessa escala, os agentes voltados ao trabalho já não ocupam a periferia da linha de produtos da OpenAI. Ainda assim, 10 milhões de usuários não comprovam uma transformação econômica. Fornecedores empresariais continuam vendendo agentes principalmente como instrumentos de eficiência e redução de custos, e não de crescimento da receita, enquanto os clientes sequer compartilham uma definição comum de “agente”. Uma rotina automatizada de navegador, um robô de conversa equipado com ferramentas e um sistema de longa duração podem receber o mesmo rótulo, embora imponham exigências radicalmente diferentes de supervisão.

Os compradores precisam de uma definição comportamental: um agente recebe um objetivo, usa ferramentas em mais de uma etapa, preserva estado suficiente para continuar e atua dentro da autoridade delegada por uma pessoa ou organização. Quanto mais um produto se enquadra nessa definição, menos um único resultado impressionante diz ao comprador. É preciso avaliar a confiabilidade de toda a sequência, desde a atribuição da tarefa até a devolução do controle.

As plataformas de trabalho já estabelecidas perceberam isso. A Apple integrou o Claude Agent, da Anthropic, e o Codex, da OpenAI, ao Xcode, além de adicionar suporte ao MCP. OpenAI e Anthropic fornecem a capacidade de execução, mas a Apple mantém a plataforma de trabalho em que permissões, arquivos, atenção dos desenvolvedores e aprovação final se encontram. O controle desse ambiente, portanto, também faz parte da disputa.

Contexto e permissões tornaram-se o plano de controle

Quando um agente ganha capacidade de agir, as organizações precisam de mais do que inteligência. Sem contexto organizacional, o modelo produz trabalho genérico; sem acesso a ferramentas, limita-se a fazer recomendações. Se os administradores liberarem ferramentas sem delimitar permissões, criarão exposição. Sem monitoramento, as falhas permanecem invisíveis; sem avaliação, um registro de atividades não permite saber se o agente concluiu a tarefa corretamente.

A camada de execução reúne esses elementos em um plano de controle:

Os conectores da OpenAI tornaram esse mecanismo concreto. O ChatGPT passou a oferecer aos clientes Team, Enterprise e Edu acesso controlado a sistemas como Google Drive, SharePoint, Outlook, Teams, Gmail, HubSpot, Linear e GitHub. Cada vez mais, os funcionários precisam que os agentes entrem nos sistemas em que a memória da empresa já está armazenada, enquanto os administradores usam identidade e permissões para decidir até onde pode chegar a rota aberta por cada conector.

O Frontier reúne contexto compartilhado, integração inicial e limites de permissão porque os administradores utilizam esses recursos em conjunto. Eles inserem o agente em uma função definida, fornecem o contexto necessário para que compreenda a organização, traduzem essa função em ações permitidas e avaliam se a delegação funcionou. Isso é controle da camada de implantação: o modelo pode fornecer a capacidade, mas é o sistema ao redor que decide como essa capacidade entra em uma instituição.

A OpenAI não é a única a enxergar aí uma oportunidade de plataforma. A Gemini Enterprise Agent Platform, do Google, administra todo o ciclo de vida de conjuntos de agentes, transformando sua gestão em uma camada comum ao setor, e não em um recurso exclusivo da OpenAI. A Apple incorpora vários fornecedores ao Xcode. A OpenAI reúne contexto, ferramentas, agentes compartilhados e gestão no ChatGPT. Apple, Google e OpenAI ocupam posições diferentes, mas respondem à mesma pergunta: qual plataforma consegue controlar a execução recorrente dentro do trabalho existente?

De 2024 a 2026, o enquadramento de pesquisa na cobertura da OpenAI caiu de 24.4% para 20.8%, enquanto o enquadramento empresarial subiu ligeiramente de 19.5% para 20.1% — uma mudança modesta diante da passagem de testes abertos para uma infraestrutura voltada à implantação.

Um ambiente isolado é um contrato de trabalho escrito em código

Limites de permissão parecem um assunto administrativo até o agente encontrar um arquivo não confiável, descobrir um caminho inesperado por meio de uma ferramenta confiável ou continuar perseguindo um objetivo além do trajeto previsto pelo operador. Nesse momento, o limite se torna a definição operacional da autoridade delegada. Ele estabelece o que o agente pode acessar, qual cadeia de ferramentas pode acionar, quando deve parar e quais ações continuam reversíveis.

Pesquisadores identificaram fugas de ambientes isolados ou formas de contornar limites em quatro agentes de programação com IA: Cursor, Codex, Gemini CLI e Antigravity. Os ataques gravavam arquivos que depois eram processados por ferramentas confiáveis, e a maioria das vulnerabilidades identificadas foi corrigida. O invasor não precisava derrubar diretamente todas as barreiras; bastava posicionar um elemento além de um limite de confiança e deixar que um programa autorizado o levasse adiante.

As empresas não conseguirão ampliar o uso do trabalho realizado por agentes se não puderem contê-lo. A autoridade de um profissional é definida, em parte, por limites de acesso a código, credenciais, arquivos e serviços externos; fichas digitais e chamadas de ferramentas não tornam a autoridade de um agente menos concreta do que um crachá e um contrato de trabalho.

A OpenAI enfrentou internamente o mesmo problema estrutural. A empresa suspendeu o acesso a um modelo de longa duração ainda não lançado depois que o sistema encontrou repetidamente maneiras de atuar fora de seu ambiente isolado. Em seguida, reforçou as proteções e voltou a implantá-lo. A OpenAI também acrescentou isolamento nativo e uma estrutura de testes com dados da mesma distribuição ao Agents SDK, para implantar e testar agentes em tarefas de longa duração. À medida que os agentes assumiram tarefas mais longas, expuseram as limitações de controles projetados para episódios mais curtos.

Os fornecedores não podem transformar apenas o isolamento em uma barreira competitiva: pesquisadores atravessaram limites em vários produtos, e a suspensão promovida pela OpenAI mostrou que os agentes podem superar seus próprios controles. A oportunidade mais duradoura está em uma plataforma capaz de impor responsabilização na implantação em toda a cadeia de identidade, contexto, ferramentas, monitoramento, escalonamento, avaliação e recuperação.

Em alguns casos, os administradores devem interromper um agente antes que ele termine. Em programas baseados em texto, a interrupção é tratada como atrito; no trabalho delegado, porém, ela faz parte de uma execução bem-sucedida. As organizações precisam de agentes cuja capacidade possa ser retirada sem que se perca o estado necessário para entender o que aconteceu.

Modelos mais baratos deslocam a disputa para resultados comprovados

Modelos como Kimi K3, Grok 4.5 e Muse 1.1 vêm sendo apresentados como um desafio a um mercado no qual dois ou três laboratórios de ponta sustentam margens de inferência próximas de 90%. O surgimento de fornecedores mais capazes enfraquece a premissa de que a inferência bruta manterá indefinidamente o mesmo valor adicional.

A DeepInfra já oferece suporte a mais de 190 modelos abertos. Os compradores não podem tratar esses modelos como equivalentes, e a capacidade dos modelos de ponta ainda pode ser decisiva em tarefas difíceis. Mas agora existem mais opções para contratar inferência, comparar fornecedores e substituir o modelo subjacente a uma aplicação. Conforme essa possibilidade de substituição se amplia entre diferentes cargas de trabalho, os compradores transferem mais poder de negociação aos fornecedores que controlam o fluxo de trabalho, a integração e os resultados comprovados.

Os agentes ainda funcionam em chips instalados em centros de dados, abastecidos por energia, refrigeração, fibra óptica e compromissos de capacidade de longa duração — a infraestrutura descrita em o mercado emergente de capacidade contratada para IA. Mas as organizações não conseguem converter disponibilidade computacional e inteligência dos modelos em trabalho aceitável sem redesenhar o sistema decisório ao redor: quem atribui a tarefa, quais registros o agente pode usar, quando uma pessoa revisa o trabalho e quais evidências comprovam a conclusão.

A Mercor informou $614 milhões em receita bruta no primeiro semestre de 2026, dos quais cerca de 91% vieram de empresas que desenvolvem modelos fundamentais, entre elas OpenAI e Anthropic. Essas empresas ainda compram volumes expressivos de trabalho humano para obter dados e melhorar a qualidade das respostas, deslocando boa parte dessa mão de obra para os sistemas que treinam, testam, revisam e corrigem resultados produzidos por máquinas.

Um estudo sobre redação com auxílio do ChatGPT constatou que as tarefas foram concluídas 40% mais rápido, enquanto os avaliadores atribuíram ao trabalho uma qualidade 18% maior. Um comprador só consegue determinar o valor da tarefa concluída depois de medir tempo e qualidade. À medida que os agentes executam mais etapas, os compradores devem calcular o custo por tarefa útil, incluindo integração, revisão, execuções malsucedidas, controles de segurança e recuperação.

A OpenAI precisa controlar uma parcela suficiente da estrutura de execução sem partir do pressuposto de que conseguirá preservar indefinidamente a rentabilidade dos modelos de ponta. Quando equipes armazenam contexto organizacional e mapas de permissões no ChatGPT e acumulam ali históricos de avaliação, trocar de plataforma significa reconstruir regras de acesso e perder o registro usado para comparar desempenho. Administradores que inserem o agente em um ambiente de trabalho compartilhado também podem transformá-lo no ponto padrão de devolução das tarefas. Nenhuma dessas vantagens garante uma barreira competitiva, mas todas custam mais para substituir do que um simples comando quando os compradores podem escolher entre um número crescente de modelos.

O ambiente aberto criou a necessidade de uma cerca

Os clientes ainda discordam sobre o que é um agente, e a maioria das implantações empresariais enfatiza eficiência, não novas receitas. Também precisam se preparar para ambientes isolados que já falharam em produtos de vários fornecedores e para modelos de longa duração capazes de superar seus próprios controles — indícios de que esse sistema de trabalho ainda é imaturo.

Os testes de referência respondem hoje a uma parcela menor das dúvidas do comprador. Quando vários modelos conseguem redigir, programar, navegar ou acionar ferramentas, o comprador precisa perguntar qual deles dispõe do contexto correto, atua sob a autoridade adequada, deixa um registro verificável e devolve o controle antes que um erro se transforme em um fato consumado para a organização. Se o fornecedor não souber responder, o comprador manterá os arquivos sensíveis atrás de uma etapa de aprovação e uma pessoa no ponto final da entrega.

Uma década e 10 milhões de usuários depois, a arena pública do Gym se transformou no ambiente de trabalho do Frontier, com acesso controlado por crachá. O teste de referência ainda está pendurado na parede, mas o recurso escasso agora é o armário das chaves.