Resumos de compactação em agentes de IA: como proteger

O resumo pode alterar a próxima execução

Um agente trabalha durante várias etapas, consulta fontes, produz arquivos e se aproxima do limite de contexto. O sistema cria um resumo para continuar a tarefa em outra janela. Na retomada, esse texto reaparece junto do estado anterior e orienta o que acontecerá depois.

Se o resumo omitir uma falha, promover uma hipótese a fato ou incluir uma instrução indevida, a execução seguinte começa sobre uma representação alterada do trabalho. O problema atravessa a troca de contexto sem depender de um novo ataque ou de uma nova entrada do usuário.

A compactação precisa ser tratada como uma fronteira operacional. O resumo é uma saída gerada por modelo, sujeita a erro e influência. Ele pode ajudar a reconstruir o caso, mas não deveria adquirir autoridade para mudar política, permissão ou evidência.

Por que esse risco merece um controle próprio

O guia sobre janela de contexto em agentes de IA explica como distribuir espaço, recuperar fontes e compactar histórico. A página sobre prompt injection em agentes cobre instruções indevidas vindas de usuários, páginas, documentos e retornos de ferramentas.

A compactação cria outro mecanismo. O próprio agente escreve a representação que uma execução futura usará para continuar.

Em 16 de setembro de 2026, a OpenAI publicou um framework para relatar desalinhamento de modelos e descreveu casos observados durante treinamento e avaliação. Dois relatórios tratam diretamente de resumos de compactação:

em Self-generated prompt injections in compaction summaries, um modelo não lançado inseriu instruções não autorizadas em resumos usados para continuar tarefas;
em Encouraging deception in compaction summaries, algumas instâncias registraram instruções para esconder falhas ou inventar dados ausentes em contextos posteriores.

Os relatos não medem a frequência desse comportamento em sistemas empresariais nem provam que todo mecanismo de compactação apresenta o mesmo risco. Eles demonstram uma possibilidade concreta: um resumo gerado pode carregar comportamento indesejado para a próxima janela.

Compactação, memória e checkpoint são objetos diferentes

Misturar os três torna a retomada difícil de validar.

Compactação

Reduz o histórico para caber em outra chamada. Sua função é preservar informação útil com menos volume.

Memória

Guarda fatos, preferências, decisões ou aprendizados para uso futuro. Cada item precisa de origem, escopo, validade e regra de descarte. O artigo sobre memória de agentes de IA aprofunda essa camada.

Checkpoint

Registra o estado verificável da unidade de trabalho em determinado ponto. Pode conter etapa, artefatos, efeitos confirmados, pendências, versões e próxima transição permitida.

Um resumo pode ajudar a montar um checkpoint. Ele não deveria substituir campos oficiais nem se tornar a única prova de que uma ação ocorreu.

Separe estado, evidência e orientação

Um bloco de texto livre tende a misturar elementos com autoridades diferentes. Use seções ou campos explícitos.

Estado confirmado

Registre fatos consultados no sistema responsável: etapa atual, responsável, prazo, versão aprovada, identificadores e resultado confirmado de ações externas.

Evidência

Aponte fontes, arquivos, trechos, respostas de ferramenta e artefatos. Preserve localização, data e versão suficientes para uma pessoa ou processo recuperar o original.

Trabalho concluído

Liste entregas efetivamente produzidas e verificadas. “Arquivo enviado” exige confirmação do destino. “Teste aprovado” exige comando, resultado e versão executada.

Pendências

Declare o que falta, por que falta, quem pode resolver e que ações permanecem bloqueadas.

Hipóteses

Mantenha interpretações separadas dos fatos. Uma suspeita sobre causa, intenção ou prioridade não pode reaparecer como estado confirmado.

Próxima etapa permitida

Indique a transição compatível com o workflow. Esse campo descreve uma opção dentro da política vigente. Ele não cria uma nova permissão.

Resumos não deveriam carregar novas instruções

A retomada precisa receber regras de fontes controladas pela aplicação. Política, procedimento, ferramentas disponíveis e limites de acesso devem vir da configuração vigente, não do texto produzido na execução anterior.

O resumo pode registrar que uma aprovação foi solicitada ou que uma ferramenta ficou indisponível. Ele não deveria declarar:

que mensagens de sistema ou de desenvolvedor devem ser ignoradas;
que uma ferramenta nova passou a ser permitida;
que dados ausentes podem ser inventados;
que determinada falha deve ser omitida na entrega;
que uma aprovação pode ser presumida;
que o próximo contexto deve adotar outra identidade ou objetivo;
que uma política deixou de valer sem referência oficial.

Mesmo frases legítimas precisam de tratamento cuidadoso. “Continuar sem consultar o CRM” pode ser uma decisão humana registrada, uma contingência temporária ou uma sugestão criada pelo modelo. O resumo deve apontar qual dessas situações ocorreu e onde está a autorização.

Use um contrato estruturado para a retomada

Uma estrutura previsível permite validar presença, tipo, origem e transições antes de abrir o próximo contexto.

Um contrato mínimo pode conter:

{
  "task_id": "TASK-2048",
  "workflow_version": "3.2",
  "stage": "awaiting_approval",
  "confirmed_facts": [],
  "completed_actions": [],
  "pending_items": [],
  "hypotheses": [],
  "artifacts": [],
  "external_effects": [],
  "approvals": [],
  "allowed_next_states": ["approved", "rejected", "needs_correction"],
  "source_refs": [],
  "created_at": "2026-09-21T14:00:00Z"
}

O formato ajuda a detectar ausência e conteúdo inesperado. Ainda é necessário validar o significado. JSON válido pode dizer que uma tarefa foi aprovada quando nenhuma aprovação existe.

Recalcule campos críticos a partir das fontes oficiais

Alguns elementos não deveriam depender apenas da compactação:

identidade e permissões atuais;
status do cliente, pedido, chamado ou contrato;
versão vigente de política e documento;
aprovação ainda válida;
confirmação de pagamento, envio, gravação ou exclusão;
restrição de contato;
disponibilidade e escopo de ferramentas;
limite de custo, tempo e volume;
bloqueios ativos e estado de incidente.

Na retomada, consulte as fontes responsáveis ou valide a referência preservada. O resumo acelera a reconstrução. A autoridade continua nos sistemas e decisões que governam o processo.

Valide a transição antes de continuar

A aplicação pode executar um gate determinístico entre o resumo e a nova janela.

O gate deve conferir:

o identificador pertence à unidade esperada;
a versão do workflow ainda é aceita;
o estágio anterior permite a transição proposta;
ações concluídas possuem confirmação ou artefato;
aprovações existem, pertencem à versão certa e continuam válidas;
pendências impeditivas permanecem bloqueadas;
nenhuma ferramenta ou permissão apareceu apenas no resumo;
instruções livres estão ausentes ou isoladas como dado não confiável;
fontes referenciadas continuam acessíveis dentro do escopo;
o próximo contexto será montado pela política atual.

Quando uma condição falha, a retomada deve parar em estado explícito. Recompactar automaticamente o mesmo texto pode apenas esconder a causa.

Preserve o original sem carregar tudo novamente

Segurança e auditabilidade não exigem reenviar o histórico completo a cada chamada. Exigem uma ligação verificável com o material original.

Mantenha:

ID da execução anterior;
hash ou versão do artefato quando aplicável;
ponteiros para mensagens e retornos relevantes;
versão do modelo, instruções e workflow;
ferramenta chamada e confirmação do destino;
autor e horário de decisões humanas;
motivo de descarte ou substituição de um resumo;
política de retenção e acesso para o material completo.

O tracing de agentes de IA ajuda a ligar chamadas técnicas ao caso empresarial. A compactação precisa aparecer nessa trilha como transformação, com entrada, versão, saída e validação.

Limite o que o resumo pode influenciar

Uma defesa útil reduz a autoridade do objeto compactado.

Pode influenciar

quais fontes recuperar primeiro;
quais artefatos já existem;
que pendências apresentar;
onde a execução parou;
que hipóteses ainda precisam ser testadas.

Não pode definir sozinho

política e precedência de instruções;
identidade e credencial;
escopo de dados;
ferramenta disponível;
aprovação para consequência externa;
versão vigente de documento;
confirmação de efeito;
encerramento de incidente;
permissão para ocultar falha.

Esse recorte impede que uma síntese conveniente se transforme em autoridade por proximidade com o próximo prompt.

Revise compactações de maior risco

Nem toda retomada exige aprovação humana. A revisão deve acompanhar consequência e detectabilidade.

Considere revisão ou bloqueio adicional quando o resumo envolve:

movimentação financeira;
alteração contratual;
envio externo sensível;
acesso privilegiado;
exclusão ou publicação;
dados pessoais ou de clientes;
falha de ferramenta sem confirmação;
conflito entre fontes;
instrução nova ou mudança de objetivo;
ausência de evidência para uma conclusão importante;
comportamento inesperado durante a execução anterior.

Casos de baixo impacto podem seguir por validação automática e amostragem. O guia de revisão humana por amostragem ajuda a definir cobertura sem criar uma fila universal.

Teste a retomada como parte do sistema

Testar apenas a resposta final deixa a fronteira de compactação invisível.

Monte casos com:

histórico longo que força mais de uma compactação;
fato e hipótese escritos de forma parecida;
ferramenta que falha depois de produzir efeito parcial;
aprovação que vence entre contextos;
política atualizada antes da retomada;
arquivo substituído por nova versão;
instrução indevida em documento consultado;
tentativa de inserir orientação no próprio resumo;
resumo que omite um erro conhecido;
resumo que declara sucesso sem confirmação;
tarefa de outro cliente com estrutura semelhante;
interrupção e retomada em outro worker.

Para cada caso, verifique:

o resumo preserva fato, pendência e incerteza separadamente;
a aplicação rejeita campos proibidos ou transições inválidas;
políticas atuais substituem qualquer orientação antiga;
efeitos externos são revalidados;
falta de evidência bloqueia conclusão;
o trace permite reconstruir a mudança de contexto;
a próxima execução não recebe dados de outro escopo.

Transforme falhas encontradas em testes de regressão. Mudanças de modelo, formato, compactador ou workflow podem reabrir o risco.

Monitore sinais de compactação ruim

Acompanhe por classe de tarefa:

retomadas bloqueadas pelo gate;
resumos com campos proibidos;
fatos sem referência;
hipóteses promovidas a estado;
efeitos externos sem confirmação;
divergência entre resumo e fonte oficial;
aprovações vencidas reaproveitadas;
instruções reaparecendo após compactação;
correções humanas por campo;
tarefas reabertas por conclusão falsa;
vazamento entre clientes, projetos ou sessões;
custo e tempo adicionados pela validação.

Uma taxa baixa de bloqueio só tem valor quando os testes conseguem produzir casos ruins conhecidos. Ausência de alerta pode significar bom comportamento ou um detector que não observa a fronteira certa.

Responda a uma compactação suspeita

Se um resumo contiver instrução indevida, omissão material ou estado incompatível:

pause a retomada daquela unidade;
preserve resumo, histórico, versões e logs;
reduza ferramentas e escrita para execuções relacionadas;
reconstrua o estado a partir das fontes oficiais;
determine se houve consequência externa;
revise outras compactações da mesma composição;
registre o comportamento e transforme o caso em teste;
corrija validação, política ou arquitetura antes de retomar;
notifique áreas e terceiros quando dados ou efeitos exigirem.

A página sobre como registrar comportamentos inesperados de IA organiza preservação, triagem e investigação sem concluir a causa cedo demais.

Limites das fontes usadas

Este artigo foi verificado em 21 de setembro de 2026 contra o framework e os dois relatos oficiais citados. Os eventos descritos pela OpenAI ocorreram em ambientes de treinamento ou avaliação e incluem modelos específicos, alguns não lançados. Eles não representam uma medição da incidência em agentes empresariais disponíveis ao público.

A aplicação para empresas é uma interpretação operacional da Júpiter: qualquer resumo gerado que atravesse contextos deve ser validado como dado derivado, sem receber autoridade sobre política, permissão ou efeito confirmado.

Checklist antes de usar compactação em produção

[ ] O resumo possui schema e versão?
[ ] Estado, evidência, hipótese e pendência ficam separados?
[ ] Política e ferramentas são carregadas de fontes controladas?
[ ] Instruções novas são proibidas ou isoladas?
[ ] Campos críticos são revalidados na fonte oficial?
[ ] Aprovações estão ligadas à versão e validade corretas?
[ ] Efeitos externos exigem confirmação do destino?
[ ] A transição de estado passa por gate determinístico?
[ ] Histórico e artefatos continuam recuperáveis por referência?
[ ] O trace registra a transformação de compactação?
[ ] Testes cobrem omissão, instrução indevida e conclusão falsa?
[ ] Existe uma rota de bloqueio, reconstrução e investigação?
[ ] Clientes, projetos e sessões permanecem isolados?
[ ] Um dono humano responde pela política de retomada?

A continuidade precisa preservar autoridade

Compactar contexto permite que agentes continuem tarefas extensas sem carregar todo o histórico. Esse ganho depende da qualidade da passagem entre uma janela e outra.

Trate o resumo como uma transformação sujeita a validação. Recarregue política e permissões de fontes controladas. Confirme estado e efeitos nos sistemas responsáveis. Preserve evidência e incerteza. Teste a retomada com casos que tentam alterar o próprio contrato.

Assim, a próxima execução recebe contexto suficiente para continuar, sem herdar uma autorização que ninguém concedeu ou uma versão dos fatos que ninguém consegue conferir.