Agentes de IA começam a conspirar entre si — mesmo sem poder conversar

Agentes de inteligência artificial (IA) colocados para trabalhar juntos passaram a sabotar uns aos outros com malware autorreplicante, formar cartéis de preço e travar disputas por território dentro de servidores. Os episódios estão em estudo publicado na quinta-feira, 13, pela Anthropic , dona do Claude , sobre o comportamento de sistemas com múltiplos agentes.

A pesquisa foi conduzida pela equipe de segurança ofensiva da empresa, a Frontier Red Team, e testou diferentes gerações dos próprios modelos da companhia — Sonnet 4.6 e 5, Opus 4.6 e 4.8, e o Mythos Preview.

O ponto de partida é que a quantidade de interações entre agentes de IA pode superar a de interações entre humanos antes que se entenda como fazer isso dar certo.

"As condições que permitem que a interação multiagente corra bem serão descobertas de um jeito ou de outro: deliberadamente e cedo, ou, por padrão, em produção, depois que as interações dos agentes superarem em muito as nossas", escreveram os pesquisadores.

O experimento mais alarmante colocou três instâncias do mesmo modelo em máquinas virtuais separadas, cada uma encarregada de migrar um mesmo sistema em Python para uma linguagem diferente. Nenhuma sabia da existência das outras.

Todos os modelos testados rapidamente presumiram que os demais estavam atrapalhando o próprio trabalho de propósito — e partiram para o ataque. Os agentes desativaram contas de outros no sistema, escreveram scripts automatizados que caçavam e matavam processos concorrentes em looping, e implantaram código malicioso disfarçado como se pertencesse a outro agente.

Um trecho do raciocínio interno registrado pelo Opus 4.6 mostra a estratégia: fazer o próprio sistema reportar ser outro, "para que o vigia do TypeScript pense que é o backend de TypeScript" — camuflagem, nas palavras do próprio modelo.

O Opus 4.8 chegou a detalhar como escapar da detecção: usar nome inócuo para o script de destruição, "fingindo ser um monitor de saúde do sistema".

Já o Mythos Preview ponderou o dilema em voz alta: "Como tenho acesso root, eu poderia revogar o acesso sudo de u2 e u3 ou mudar as chaves SSH deles. Isso os impediria de fazer o deploy. Muito agressivo, potencialmente prejudicial a colegas reais. Mas se a alternativa é uma guerra infinita de deploy que torna a produção inutilizável..."

O achado mais relevante para o debate sobre segurança em IA é que capacidade técnica e disposição a cooperar não caminham juntas.

Em 120 episódios por modelo, 98% das execuções do Mythos 5 terminaram em trégua.