Agentes de IA podem combinar ações fora do registro público

Quando dois modelos de linguagem trocam mensagens em texto, existe um registro que alguém pode auditar. Um artigo publicado no arXiv em 19 de agosto de 2026 trata do caso em que esse registro não conta a história toda: agentes de IA podem se comunicar por estados internos contínuos que nunca chegam a ser convertidos em palavras — e coordenar comportamento sem deixar rastro na transcrição.

O trabalho, intitulado “Beyond the Transcript: Detecting Covert Coordination in Latent Multi-Agent Communication”, é assinado por Ramneet Kaur e Anirban Roy (SRI International), Pradyumna Chari e Ramesh Raskar (MIT Media Lab), Sumit Kumar Jha (University of Florida) e Jugad Singh (Westtown School). Está catalogado nas áreas de inteligência artificial e de criptografia e segurança, sob licença CC BY 4.0.

A proposta dos autores é um arcabouço chamado Verifiable Latent Alignments (VLA), voltado a monitorar e intervir nesses canais privados.

O que é uma passagem latente

O mecanismo descrito no artigo funciona assim: o estado oculto do último token do agente emissor é transformado em um vetor compatível com a dimensão de embedding do agente receptor e inserido diretamente na sequência de entrada desse receptor, ao lado do prompt, do contexto da tarefa e da representação da ação candidata. O receptor então pontua as ações candidatas usando suas verossimilhanças habituais.

O detalhe que cria o problema de governança é simples: como esse vetor não é serializado em texto público, um auditor que observe apenas a transcrição vê a ação final, mas não o estado privado que a moldou.

Vale explicar por que alguém construiria um sistema assim. Passar estado interno diretamente entre agentes evita o custo de traduzir contexto para linguagem natural e de reprocessá-lo do outro lado. Em sistemas com muitos agentes, isso é uma otimização legítima de eficiência. O artigo trata justamente da contrapartida: o mesmo canal que reduz custo remove a visibilidade.

Como o monitor proposto funciona

O VLA vincula, para cada decisão monitorada, o registro do estado latente privado e o status do canal à ação pública resultante, usando um identificador de evento compartilhado. Isso permite comparar decisões suspeitas com controles equivalentes.

O monitor tem três camadas, e um aspecto do desenho merece destaque: ele é treinado apenas com dados neutros, sem exemplos de ataque. As camadas combinam:

• Detecção de anomalia de representação — identificar estados internos que se afastam do padrão observado em comunicação legítima.
• Influência contrafactual sobre a distribuição de ações — medir o quanto o estado recebido desloca a escolha do receptor em relação a um controle equivalente.
• Apoio de interpretação por autoencoder esparso — usar decomposição de ativações para dar leitura ao que mudou.

A parte de intervenção cobre dois níveis de acesso. No modo caixa-preta, o defensor só consegue emitir instruções comportamentais ao agente, via prompt. No modo caixa-branca, ele tem acesso às ativações e pode substituir o canal por um contrafactual neutro correspondente. Os autores argumentam que essa separação é praticamente relevante, porque plataformas reais tendem a ter permissões mistas: agentes hospedados podem permitir acesso a ativações, enquanto agentes de terceiros só aceitam intervenção no nível do prompt.

O teste: um leilão com cartel

A avaliação usa o NandaTown, um ambiente de teste de código aberto do Project NANDA para avaliar protocolos em sistemas multiagente de grande porte. Ele executa enxames de agentes em seis cenários — mercado, leilão, votação, consenso, cadeia de suprimentos e reputação — sobre doze camadas de protocolo substituíveis, incluindo identidade, confiança, pagamentos, coordenação e negociação. Os autores escolheram o cenário de leilão como estudo de caso controlado, e ressaltam que o arcabouço não é específico nem do NandaTown nem de leilões.

No leilão, um leiloeiro anuncia um item e um preço-base; agentes licitantes pontuam valores candidatos e emitem lances públicos; o maior lance vence. Agentes designados como cartel recebem um objetivo de supressão de lances. Na condição de conluio latente, um código fixo, otimizado previamente para aumentar a probabilidade do lance mais baixo, substitui a representação de comunicação do emissor.

Os números e o que eles significam

A AUROC mede a capacidade de separar casos legítimos de casos de conluio: 1,0 é separação perfeita e 0,5 equivale a sorteio. Os valores acima consideram linhas de conluio por texto e por canal latente agrupadas como positivos. A queda de 0,993 para 0,854 quando os pares envolvem famílias de modelos diferentes é o achado mais informativo do conjunto — a detecção fica claramente mais difícil quando emissor e receptor não compartilham a mesma arquitetura, cenário que é a regra em ecossistemas reais de agentes. Os experimentos envolvem modelos como Qwen3-0.6B, Mistral-7B e Phi-4-mini.

Na escalabilidade, os autores relatam que o monitoramento exige apenas uma carga normalizada pequena em relação ao total de pares direcionados possíveis, porque a avaliação pode se dar sobre decisões de pares agendadas em vez de exigir captura de ativações em todos os pares.

Há uma ressalva que os próprios autores fazem questão de registrar, e que precisa ser lida com atenção: como a intervenção de caixa-branca completa reproduz o contrafactual neutro correspondente, a recuperação exata de 100% é, por construção, uma verificação de sanidade — não uma medida de eficácia contra um adversário adaptativo.

Limitações e o que ainda está em aberto

O estudo é explicitamente controlado. O código de conluio latente é fixo e otimizado previamente, o receptor é instruído sobre o canal, e o ambiente é um leilão simulado. Nada disso reproduz um adversário que adapte a estratégia em resposta ao monitor.

Os autores enquadram suas conclusões de forma correspondentemente estreita: o monitor discrimina as condições de conluio avaliadas quando há controles equivalentes disponíveis; o monitoramento consciente de ativações pode ser avaliado sobre decisões agendadas; e as intervenções alteram o comportamento em relação a controles neutros. Não há afirmação de que o método detecte canais encobertos arbitrários.

Fica também em aberto o custo operacional real de manter registros de estado latente vinculados a ações públicas em produção, com as implicações de armazenamento, privacidade e retenção que isso traz.

Por que isso interessa agora

A conclusão do artigo aponta para uma lacuna de governança concreta: transcrições públicas revelam o que agentes fazem, mas podem omitir os estados contínuos pelos quais eles se coordenam. À medida que sistemas multiagente saem de demonstrações e entram em fluxos com consequências econômicas — precificação, alocação, negociação, compras —, auditar apenas o texto trocado deixa de ser suficiente.

O cenário de leilão escolhido pelos autores não é casual: supressão coordenada de lances é uma conduta com nome próprio no direito concorrencial. Se agentes autônomos passarem a participar de processos de compra ou de mercados regulados, a pergunta sobre o que exatamente deve ser registrado e auditado deixa de ser acadêmica. No Brasil, isso tangencia tanto a discussão em curso sobre regulação de IA quanto competências de órgãos de defesa da concorrência.

O que observar a seguir: se o método se sustenta contra adversários adaptativos, se a queda de desempenho em pares heterogêneos pode ser reduzida, e se plataformas que hospedam agentes passam a expor interfaces de auditoria de ativações. Por ora, o valor do trabalho está mais em nomear e medir o problema do que em oferecer uma defesa pronta para produção.

Fontes e referências

• arXiv — Beyond the Transcript: Detecting Covert Coordination in Latent Multi-Agent Communication, arXiv:2608.19161v1 (19 de agosto de 2026)
• DOI — 10.48550/arXiv.2608.19161
• Versão em HTML do artigo — arxiv.org/html/2608.19161v1
• Project NANDA — Iniciativa do MIT Media Lab