O que são agentes de IA e como executam tarefas

Quando você conversa com um assistente de inteligência artificial, a troca costuma ser simples: você pergunta, ele responde. Um agente de IA trabalha de outro jeito. Você entrega um objetivo, e o sistema decide sozinho quais passos dar, consulta fontes, aciona programas e confere se chegou aonde precisava.

Essa diferença parece pequena, mas muda o tipo de risco envolvido. Um texto errado você lê e descarta. Uma ação errada (um e-mail enviado, um arquivo apagado, um pedido cancelado) pode já ter acontecido quando você percebe. Por isso vale entender o mecanismo antes de delegar qualquer tarefa.

O que é um agente de IA

Não existe uma definição única e oficial, mas as empresas que desenvolvem esses sistemas convergem bastante. O guia prático da OpenAI sobre agentes resume assim: agentes são sistemas que realizam tarefas de forma independente em nome do usuário. O mesmo guia faz uma ressalva útil: aplicações que usam um modelo de linguagem, mas não deixam que ele controle a execução do fluxo de trabalho, como chatbots simples ou classificadores de sentimento, não são agentes.

A Anthropic, no texto de engenharia Building effective agents, de dezembro de 2024, traça uma linha parecida. Ela separa dois tipos de sistema:

• Fluxo de trabalho (workflow): o modelo e as ferramentas seguem caminhos definidos antes, no código. O programador decide a ordem dos passos.
• Agente: o próprio modelo decide os passos e quais ferramentas usar, mantendo o controle de como cumpre a tarefa.

No centro de tudo está um modelo de linguagem de grande porte (LLM, na sigla em inglês), o tipo de modelo que gera texto a partir de padrões aprendidos em grandes volumes de dados. Se quiser revisar esse conceito, veja o que são LLMs.

As três peças de um agente

Segundo o guia da OpenAI, um agente tem, na forma mais básica, três componentes:

1. Modelo: o LLM que raciocina e toma decisões.
2. Ferramentas: funções ou APIs externas que o agente usa para agir. Uma API (interface de programação) é a porta pela qual um programa conversa com outro.
3. Instruções: diretrizes explícitas e limites que definem como o agente deve se comportar.

A Anthropic descreve a mesma ideia com outro nome: o “LLM aumentado”, um modelo reforçado com recuperação de informação, ferramentas e memória. A recuperação de informação é o que permite consultar documentos (o tema do nosso texto sobre RAG). A memória é discutida em contexto e memória em IA.

Como o modelo “usa” uma ferramenta

Aqui está o ponto que mais gera confusão: o modelo de linguagem não executa ações diretamente. Ele só produz texto. O que muda é que esse texto pode ser um pedido estruturado para chamar uma ferramenta.

A documentação de function calling da OpenAI descreve o ciclo em cinco etapas:

1. O aplicativo envia ao modelo a lista de ferramentas disponíveis, com nome, descrição e parâmetros.
2. O modelo responde com um pedido de chamada: qual ferramenta usar e com quais argumentos.
3. O aplicativo executa o código correspondente.
4. O aplicativo devolve o resultado ao modelo, em uma nova requisição.
5. O modelo dá a resposta final ou pede outra chamada.

A documentação é explícita: quem executa a função é a sua aplicação, não o modelo. A documentação de uso de ferramentas da Anthropic descreve o mesmo vaivém e acrescenta uma distinção. Há ferramentas que rodam no seu aplicativo (ferramentas de cliente) e ferramentas que rodam na infraestrutura do fornecedor, como busca na web (ferramentas de servidor).

Um exemplo hipotético ajuda. Imagine um agente de atendimento com acesso a uma ferramenta “consultar_pedido”. Você pergunta onde está sua encomenda. O modelo não sabe a resposta, então devolve algo como: chamar “consultar_pedido” com o número 12345. O sistema da loja faz a consulta, recebe “em trânsito, previsão para sexta” e entrega isso ao modelo, que escreve a resposta para você.

O ciclo de pensar, agir e observar

Uma única chamada de ferramenta ainda não faz um agente. O que caracteriza o agente é a repetição: ele age, observa o resultado e decide o próximo passo com base no que viu.

Uma referência acadêmica importante para esse padrão é o artigo ReAct, publicado no arXiv em outubro de 2022 por Shunyu Yao e coautores e depois apresentado na conferência ICLR. O nome vem de reasoning e acting (raciocinar e agir). A proposta é fazer o modelo alternar trechos de raciocínio com ações concretas, como consultar uma API simples da Wikipédia.

Segundo os autores, intercalar raciocínio e consulta externa reduziu problemas de alucinação e de propagação de erros que apareciam quando o modelo só raciocinava, sem checar fatos. Em dois ambientes de tomada de decisão interativa, ALFWorld e WebShop, o ReAct superou métodos de aprendizado por imitação e por reforço com ganhos absolutos de 34 e 10 pontos percentuais na taxa de sucesso, usando apenas um ou dois exemplos no prompt.

Na prática, o ciclo fica assim, em uma tarefa como “encontre a fatura de setembro do fornecedor X e resuma os valores”:

1. Pensar: preciso localizar a fatura; vou buscar no e-mail.
2. Agir: chama a ferramenta de busca de e-mails.
3. Observar: encontrou três mensagens; uma tem um PDF anexado.
4. Pensar: o PDF parece ser a fatura; vou abrir.
5. Agir e observar de novo, até ter o resumo.

A Anthropic recomenda que o agente obtenha “verdade de campo” do ambiente a cada passo, como o resultado real de uma ferramenta ou de um código executado, em vez de supor o que aconteceu. Recomenda também condições de parada, como um número máximo de iterações, para que o agente não fique girando indefinidamente.

Quando um agente faz sentido

Agente não é a solução padrão para tudo. A Anthropic recomenda começar pela solução mais simples possível e só aumentar a complexidade quando necessário. Em muitos casos, diz o texto, basta uma única chamada ao modelo, bem preparada, com recuperação de documentos e exemplos.

O guia da OpenAI aponta três situações em que agentes tendem a agregar valor:

• Decisões complexas, com exceções e julgamento de contexto, como aprovar um reembolso.
• Regras difíceis de manter, quando um sistema de regras ficou grande e frágil demais.
• Dados não estruturados, como interpretar documentos ou conversar em linguagem natural.

Se o seu caso não se encaixa claramente nisso, o próprio guia sugere que uma solução determinística, isto é, um programa comum com regras fixas, pode bastar.

Riscos e limites que você precisa conhecer

Erros que se acumulam

Cada passo de um agente depende do anterior. A Anthropic alerta que a autonomia traz custo maior e risco de erros compostos: um engano no início contamina tudo o que vem depois. Uma resposta inventada pelo modelo, o que se chama de alucinação, deixa de ser só um texto errado e vira a base de uma ação.

Custo e tempo de resposta

Sistemas agênticos costumam trocar velocidade e custo por desempenho, segundo a Anthropic. Há uma razão mecânica para isso. A documentação da Anthropic informa que as definições das ferramentas, os pedidos de chamada e os resultados devolvidos entram na conta de tokens de cada requisição, e cada volta do ciclo é uma nova requisição. Se quiser entender a unidade de cobrança, veja tokens em modelos de IA.

Injeção de prompt

Este é o risco de segurança mais discutido. A injeção de prompt ocorre quando instruções maliciosas chegam ao modelo misturadas ao conteúdo que ele processa. No caso indireto, o atacante nem fala com o agente: ele planta as instruções numa página, num e-mail ou num documento que o agente vai ler.

O artigo de Greshake e coautores, de 2023, mostrou esse tipo de ataque contra aplicações reais. Os autores argumentam que essas aplicações borram a fronteira entre dados e instruções, e listam impactos como roubo de dados.

Em novembro de 2025, a Anthropic publicou um texto sobre agentes que navegam na web com um exemplo concreto: um e-mail com texto branco, invisível para o leitor, mandando o agente encaminhar mensagens confidenciais para um endereço externo. A empresa afirma que “nenhum agente de navegador é imune” e que uma taxa de 1% de ataques bem-sucedidos, embora seja uma melhora, ainda representa risco relevante.

Ações irreversíveis

O guia da OpenAI recomenda planejar a intervenção humana em dois casos: quando o agente ultrapassa um limite de falhas ou tentativas, e quando a ação é sensível, irreversível ou de alto impacto. Os exemplos citados são cancelar pedidos, autorizar reembolsos altos e fazer pagamentos.

Como usar agentes com mais segurança

As recomendações abaixo combinam o que dizem as fontes citadas com a avaliação da redação:

• Dê o mínimo de acesso necessário. Na avaliação da redação, um agente que só precisa ler a agenda não deveria ter permissão para enviar e-mails.
• Exija confirmação para ações de alto risco, como pagamentos, exclusões e envios, conforme sugere o guia da OpenAI.
• Teste em ambiente isolado antes de liberar acesso a sistemas reais, como recomenda a Anthropic.
• Defina limites de passos e de gasto, para interromper ciclos que não convergem.
• Trate todo conteúdo externo como não confiável: páginas, anexos e mensagens podem conter instruções escondidas.
• Confira o resultado, não só o relatório do agente. Veja o que mudou de fato no sistema. Para critérios de checagem, leia como avaliar respostas de IA.
• Escreva instruções claras e delimitadas. Técnicas para isso estão em engenharia de prompts.

O que levar deste texto

Um agente de IA é um modelo de linguagem colocado num ciclo: ele decide um passo, pede a execução de uma ferramenta, observa o resultado e repete. Essa autonomia permite automatizar tarefas que regras fixas não resolvem bem.

O preço é maior exposição. Erros se acumulam, cada volta do ciclo custa tokens, e qualquer conteúdo lido pelo agente pode tentar sequestrá-lo. Use agentes onde a flexibilidade compensa, comece simples e mantenha uma pessoa no controle das ações que não têm volta.