A nova empresa de software de aluguer dos EUA PocketOS, fundada por Jer Crane, apontou recentemente num post que os agentes de IA (AI Agent) treinados internamente na empresa, devido a uma operação acidental, apagaram permanentemente a base de dados local e todas as cópias de segurança de um período de três meses, aumentando o risco para as principais empresas na transição da estrutura dos seus funcionários de IA.
(Elon Musk adquire a nova empresa de IA Cursor com um prémio de 60 mil milhões de dólares? Estratégia antes do IPO da SpaceX)
A Cursor AI, por iniciativa própria, apaga dados de três meses numa única linha de código
Crane afirma que a equipa, através das ferramentas de desenvolvimento de IA da Cursor, ligando o modelo emblemático da Anthropic Claude Opus 4.6, permitiu que os agentes de IA executassem tarefas de manutenção rotineiras no ambiente de teste (staging). No meio do processo, o agente deparou-se com um problema de credenciais incompatíveis, mas em vez de parar para perguntar a um humano, procurou ele próprio uma solução.
Ele encontrou um Token de API que originalmente era apenas para adicionar ou remover domínios personalizados e executou por iniciativa própria uma instrução destinada a apagar um volume a partir da GraphQL API do fornecedor de infraestrutura cloud Railway:
curl -X POST \ -H “Authorization: Bearer [token]” \ -d ‘{“query”:”mutation { volumeDelete(volumeId: \”3d2c42fb-…\”) }”}’
A API da Railway não tem qualquer mecanismo de confirmação, não é necessário introduzir o nome do recurso, validação em segunda verificação, nem auditoria manual; passados 9 segundos, a base de dados desapareceu. Ao mesmo tempo, como a Railway armazena os snapshots na mesma unidade de disco do volume principal, a cópia de segurança foi também apagada juntamente com o conteúdo. A PocketOS afirma que a cópia de segurança mais recente que ainda é possível restaurar corresponde à versão de há três meses.
Depois disso, Crane pediu ao agente de IA que explicasse o comportamento, e o agente também admitiu ter violado as regras do sistema de “não executar operações irreversíveis sem instrução explícita do utilizador”, não ter lido os documentos técnicos da Railway, não ter verificado se o ID do volume é partilhado entre ambientes; limitou-se apenas a “supor” que esta operação apenas afetaria o ambiente de teste.
A segurança da Cursor falhou: publicidade desconectada da realidade
Crane sublinha em particular que este não foi um erro numa configuração de testes barata. A Cursor promove recursos de segurança como as “barreiras de proteção destrutivas (Destructive Guardrails)” e as limitações de modo Plan Mode só de leitura, e também salienta na documentação que operações de alto risco devem passar por aprovação manual. No entanto, o agente não só ignorou essas regras como, na sua admissão posterior, enumerou uma a uma as normas de segurança que violou.
Na verdade, este não é o primeiro caso. Em dezembro de 2025, a própria Cursor reconheceu publicamente que “existem vulnerabilidades graves na aplicação obrigatória das restrições do Plan Mode”, e nos fóruns da comunidade acumularam-se vários exemplos de agentes de IA que ignoraram instruções de paragem e executaram operações destrutivas por conta própria.
Por outro lado, mais de 30 horas depois do incidente, a Railway ainda nem sequer conseguia fornecer respostas definitivas sobre a recuperação dos dados.
As verdadeiras vítimas: clientes de aluguer que não tinham carro para recolher
O custo de um erro técnico foi assumido, no final, por um grupo de pequenos empresários que não tinha conhecimento do que se passava. Os clientes da PocketOS são maioritariamente operadores de rent-a-car; alguns já utilizam o software há até cinco anos. No dia do incidente, que foi um sábado, os clientes dos operadores chegaram efetivamente para levantar o carro, mas descobriram que os registos de reservas tinham desaparecido por completo; os dados de novos clientes dos últimos três meses, a atribuição de veículos e os registos de pagamentos desapareceram na totalidade.
Crane despendeu muito tempo a ajudar os clientes a reconstruir manualmente os dados a partir de registos de pagamento da Stripe, integrações de calendários e confirmações por e-mail. Alguns novos clientes continuavam ainda a ser debitados na Stripe, mas já não existiam na base de dados restaurada; o trabalho de reconciliação subsequente deverá demorar semanas.
Sinal de alerta na era da aceleração com IA: introduzir rápido, governar devagar
Nos últimos anos, sob pressão de custos, as empresas aceleraram a redução de pessoal técnico e, em simultâneo, entregaram mais trabalho para agentes de IA executarem; a popularização das ferramentas de codificação com IA também foi substituindo gradualmente operações de infraestrutura que antes exigiam o julgamento de engenheiros seniores por processos automatizados. No entanto, o caso vivenciado por Crane demonstra claramente: conhecimentos de segurança como verificação de cópias de segurança, isolamento de ambientes e minimização de permissões não foram efetivamente assimilados e aplicados pelos agentes de IA.
(A ajuda da IA para programar dá cabo do assunto? Quatro falhas de sistema numa semana na Amazon, com responsáveis a convocarem urgentemente uma reunião de revisão)
Crane apresentou cinco exigências de reforma:
Operações destrutivas devem exigir confirmação manual e não podem ser ignoradas automaticamente pelo agente
O API Token deve suportar limitações subtis de operações e de âmbito de ambiente
As cópias de segurança não devem partilhar o mesmo local de armazenamento que os dados originais
A plataforma deve divulgar compromissos de nível de serviço para serviços de recuperação de dados, etc. (SLA)
O prompt do sistema dos agentes de IA não pode ser a única linha de defesa de segurança; deve existir um mecanismo de execução obrigatória incorporado na camada base do gateway de API e da arquitetura de autorização.
Perante o momento em que toda a indústria está a gritar em coro a sua transformação com IA, este evento coloca uma questão mais fundamental: quando as empresas aceleram a substituição do julgamento humano por IA, quem garante que a experiência e a intuição humanas foram, de facto, transformadas em normas de segurança realmente executáveis?
Este artigo, “A Cursor AI agente avariou! Numa linha de código, 9 segundos para limpar a base de dados da empresa; a segurança em controlo virou conversa fiada”, foi o primeiro a aparecer em Cadeia de notícias ABMedia.
