Sandbox de agente virou infraestrutura: 4 anúncios da semana

Na semana da AGNTCon + MCPCon, em 22 e 23 de outubro, quatro empresas anunciaram jeitos de isolar agentes de IA. Separei os quatro anúncios com uma linha do que eu tiro de cada um, e no fim o padrão que aparece em todos.

Os quatro anúncios

1. Google Agent Compute Engine. Cada agente roda numa microVM com isolamento de hardware, kernel próprio e credenciais de vida curta. As credenciais de serviço são injetadas no egress, fora da microVM. Entra em preview nos próximos meses, e a versão open source para Kubernetes, o Agent Substrate, já pode ser testada no GKE. O que eu tiro: o agente usa a credencial sem nunca ter a credencial.

2. NVIDIA OpenShell. Runtime open source (Apache 2.0) em que você declara numa política o que cada agente pode tocar. O controle acontece no kernel, em cada acesso a arquivo, syscall e conexão de rede. O agente não vê a credencial real, que só é adicionada em requisições para endpoints aprovados. Antes de aplicar uma mudança de política, verificação formal aponta acesso novo arriscado, que espera revisão humana. O que eu tiro: mudança de permissão merece o mesmo review que mudança de código.

3. OpenSandbox na Agentic AI Foundation. A Alibaba doou o OpenSandbox para a fundação que já cuida do MCP e do AGENTS.md. Ele traz SDKs para várias linguagens, runtimes em Docker e Kubernetes e um protocolo que define as APIs de ciclo de vida e execução do sandbox. O que eu tiro: sandbox caminha para ter contrato aberto, do mesmo jeito que o MCP padronizou ferramenta.

4. Claude com auto mode por padrão. A partir da semana que vem, os apps do Claude (web, desktop e mobile) rodam em auto mode nos planos Pro, Max e Team. Em vez de pedir aprovação a cada passo, um classificador separado bloqueia ações arriscadas. Quando a Anthropic fez a mesma troca no Claude Code, em agosto, ela informou que nos testes o classificador pegou 89% dos comandos perigosos, contra 14% da aprovação manual. O que eu tiro: clicar em “aprovar” o dia inteiro dá sensação de controle, e o número mostra que essa sensação engana.

O padrão

Nos quatro casos, a decisão de segurança sai do modelo e vai para uma camada que ele não controla: o hypervisor, o kernel, o proxy de saída ou um classificador à parte.

Pra quem lidera time e já tem agente rodando com acesso a repositório, CI ou banco, eu faria três perguntas hoje:

• Onde a credencial mora? Se ela está numa variável de ambiente que o agente consegue ler, um prompt injection bem escrito consegue mandar ela pra fora.
• Quem revisa mudança de permissão? Liberar um host novo para o agente deveria passar por PR, com o porquê escrito.
• O que fica registrado? Qual agente chamou o quê, com quais argumentos e em nome de quem. Sem esse rastro, o incidente vira adivinhação.

O modelo continua sendo uma escolha importante. Só que, pelos anúncios desta semana, o mercado está apostando que a segurança do agente vai ser decidida na camada em volta dele.

Fontes

• Introducing Agent Compute Engine and expanded agent governance, Google Cloud, 22 de outubro de 2026
• NVIDIA OpenShell, GitHub
• Agentic AI Foundation Announces Four New Projects: Agent Skills, Open Responses, OpenEnv, and OpenSandbox, Linux Foundation, 22 de outubro de 2026
• OpenSandbox, GitHub
• Auto mode por padrão nos apps do Claude, Claude no X, 22 de outubro de 2026
• Auto mode por padrão no Claude Code, ClaudeDevs no X, 7 de agosto de 2026